基于國(guó)密算法的密碼應(yīng)用安全建設(shè)

鄧晶晶?許敬偉?陳麗茉　盧冠杰

摘要：密碼在保障網(wǎng)絡(luò)安全中扮演著至關(guān)重要的角色。它不僅僅是一種核心技術(shù)，更是一種基本的社會(huì)責(zé)任。本文將深入探討密碼的相關(guān)歷史、現(xiàn)狀、未來的趨勢(shì)，以及如何利用國(guó)密算法來實(shí)現(xiàn)更加完善的密碼保護(hù)。此外，本文還將探討如何有效地實(shí)施密碼的監(jiān)督與審查，以確保密碼的有效使用，進(jìn)而保障社會(huì)的穩(wěn)定與可持續(xù)性。

關(guān)鍵詞：商用密碼應(yīng)用安全性評(píng)估；密評(píng)；國(guó)密算法

一、密碼安全背景及國(guó)家政策

（一）密碼法出臺(tái)，將密碼應(yīng)用要求提升到國(guó)家法律法規(guī)層面

《中華人民共和國(guó)密碼法》《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《商用密碼應(yīng)用安全性評(píng)估管理辦法（試行）》《國(guó)家政務(wù)信息化項(xiàng)目建設(shè)管理辦法》等法律法規(guī)制度均對(duì)密碼建設(shè)及應(yīng)用作出了明確規(guī)定。同時(shí)，密碼法將“國(guó)家鼓勵(lì)和支持密碼科學(xué)技術(shù)研究和應(yīng)用”和“國(guó)家加強(qiáng)密碼人才培養(yǎng)和隊(duì)伍建設(shè)”寫進(jìn)法律條文中，體現(xiàn)了推動(dòng)國(guó)密事業(yè)高質(zhì)量發(fā)展的決心。

（二）黨和國(guó)家高度重視密碼發(fā)展，明確規(guī)定用密碼保護(hù)重要數(shù)據(jù)

為了更好地維護(hù)2.0時(shí)代的互聯(lián)網(wǎng)，推行了一系列新的信息技術(shù)和安全性設(shè)計(jì)規(guī)范，并發(fā)布了《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)防護(hù)基本原則》《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)防護(hù)測(cè)評(píng)標(biāo)準(zhǔn)》和《堅(jiān)持實(shí)施網(wǎng)絡(luò)安全等級(jí)防護(hù)體系和重要信息基礎(chǔ)設(shè)施安全保護(hù)管理制度的指示若干意見》（公網(wǎng)安〔2020〕1960號(hào)），以確保互聯(lián)網(wǎng)的可持續(xù)發(fā)展。通過建立完善的政策體系，大大促進(jìn)了中國(guó)商業(yè)密碼的普及，并且激活了持續(xù)增長(zhǎng)的活力。

（三）商用密碼管理發(fā)展簡(jiǎn)述

1999年10月，《商用口令條例》的公布施行，為中國(guó)的信息安全保護(hù)和互聯(lián)網(wǎng)信任體系建設(shè)打下了扎實(shí)的根基，2003年9月，《國(guó)家領(lǐng)導(dǎo)工作組有關(guān)進(jìn)一步強(qiáng)化網(wǎng)絡(luò)安全保護(hù)管理工作的若干意見》（中辦發(fā)〔2003〕27號(hào)）出臺(tái)，為中國(guó)的信息安全保護(hù)和互聯(lián)網(wǎng)信任體系建設(shè)指明了方向，為中國(guó)的信息安全保護(hù)和互聯(lián)網(wǎng)信任體系建設(shè)打下了扎實(shí)的根基。從2013年起，中國(guó)的商用密碼管理取得了長(zhǎng)遠(yuǎn)的發(fā)展。為此，中華人民共和國(guó)秘密管理局公布了多種商用密碼方法，包含SM1、 SM 2、SM 3、SM4、SM7、SM9及祖沖之秘密方法（ZUC），以確保安全性和可靠性。在這些方法中，SM1、SM4、SM7及祖沖之秘密方法（ZUC）都具有對(duì)稱性，但SM 2、SM9則更加復(fù)雜，它們都可以在特定的加密芯片上實(shí)現(xiàn)，并且都可以在SM 3的國(guó)家標(biāo)準(zhǔn)下使用。SM1、SM7方法可以在特定的加密芯片上實(shí)現(xiàn)，但它們的使用仍然受到了限制。

二、密碼應(yīng)用現(xiàn)狀及密評(píng)工作的必要性

“密評(píng)”，也被簡(jiǎn)寫為“商用密碼應(yīng)用安全性評(píng)估”，旨在通過嚴(yán)格的“密評(píng)”，來檢驗(yàn)使用的商業(yè)密評(píng)的準(zhǔn)確、可靠、可操作，以及它們的可靠性。該標(biāo)準(zhǔn)旨在為企業(yè)提供一個(gè)完善的、可靠的、可持續(xù)的、可管理的、可操作的網(wǎng)絡(luò)與信息系統(tǒng)。

（一）密碼技術(shù)是應(yīng)對(duì)網(wǎng)絡(luò)安全形勢(shì)的實(shí)際需求

隨著科學(xué)技術(shù)的不斷進(jìn)步，目前，我國(guó)的網(wǎng)絡(luò)安全防護(hù)水平仍然較低，許多數(shù)據(jù)未經(jīng)嚴(yán)格的加密處理，潛藏著嚴(yán)峻的安全風(fēng)險(xiǎn)。因此，加強(qiáng)對(duì)加密算法的研究，以提高加密算法的準(zhǔn)確性，以便更好地管理和維護(hù)公共資源，以滿足社會(huì)對(duì)加密算法的需求，為社會(huì)提供更加穩(wěn)定的加密服務(wù)。

（二）雖有相關(guān)法律法規(guī)的明確要求，密碼應(yīng)用仍存在不規(guī)范現(xiàn)象

重視信息化建設(shè)，但忽視了安全防御，信息系統(tǒng)的密碼操作缺乏標(biāo)準(zhǔn)化，從而造成了嚴(yán)重的信息泄露，嚴(yán)重影響了信息的安全性。因此，加強(qiáng)對(duì)信息的安全性，嚴(yán)格執(zhí)行有效的IT，加強(qiáng)對(duì)信息的審查，以及建立完善的IT體系，對(duì)IT的發(fā)展負(fù)有重大的責(zé)任。

（三）密碼算法不安全

現(xiàn)有大量系統(tǒng)依舊在使用MD5、SHA-1、RSA-1024危險(xiǎn)的密碼算法，以及基于此提供的不安全的密碼服務(wù)，給信息系統(tǒng)帶來了嚴(yán)重的安全隱患。通過進(jìn)行密評(píng)，能夠更好地了解網(wǎng)絡(luò)與信息系統(tǒng)的安全狀況，并制定合適的標(biāo)準(zhǔn)來確保商業(yè)密碼的有效應(yīng)用。

（四）密評(píng)市場(chǎng)情況

數(shù)據(jù)顯示，在2020年至2022年整體密評(píng)市場(chǎng)中，主要集中在政務(wù)、金融、醫(yī)療等三大行業(yè)，同時(shí)，大部分客戶都會(huì)選擇密評(píng)和等保檢測(cè)或咨詢合并到一個(gè)項(xiàng)目中，在未來，可能下一步將進(jìn)入能源、公安等。

三、基于國(guó)密算法的密評(píng)建設(shè)

2018年，國(guó)家機(jī)構(gòu)頒布的GM/T0054-2018《網(wǎng)絡(luò)秘密使用要求》（又稱國(guó)密0054規(guī)范），為當(dāng)前的商業(yè)機(jī)構(gòu)的管理、安全性、安全性等方面的使用提供了一套完整的規(guī)范，為實(shí)現(xiàn)的目標(biāo)打下了扎實(shí)的根基。國(guó)家密碼0054規(guī)范包含五個(gè)方面的內(nèi)容：概述性的規(guī)定、口令的性質(zhì)、口令的使用、密鑰的保護(hù)以及口令的安全性。

本文將重點(diǎn)討論如何在技術(shù)要求、密鑰管理和安全管理三個(gè)方面保護(hù)信息系統(tǒng)的安全。探討如何通過密碼測(cè)評(píng)來確保信息系統(tǒng)的安全性，并基于國(guó)家密碼算法進(jìn)行密碼評(píng)估，確保信息系統(tǒng)的密碼能夠合法、正確、有效地使用。

（一）物理和環(huán)境安全

對(duì)于商業(yè)機(jī)構(gòu)的密碼系統(tǒng)，進(jìn)行了嚴(yán)格的物質(zhì)與非物質(zhì)安全檢查，以確保其能夠有效地識(shí)別個(gè)人信息，并保證其在電子門禁系統(tǒng)中的數(shù)據(jù)保持完好。測(cè)評(píng)對(duì)象包括物理安全負(fù)責(zé)人、系統(tǒng)管理員、機(jī)房監(jiān)控系統(tǒng)、門禁系統(tǒng)、技術(shù)文檔。

經(jīng)過現(xiàn)場(chǎng)測(cè)評(píng)，可以準(zhǔn)確地評(píng)估機(jī)房的安全性。根據(jù)被測(cè)信息系統(tǒng)的實(shí)際情況，確定是否符合要求，以及是否不符合要求。

為了滿足指定的需求，采用先進(jìn)的加密技術(shù)來構(gòu)建一個(gè)完善的電子門禁系統(tǒng)，以便識(shí)別和管理關(guān)鍵的辦公空間（如計(jì)算機(jī)中心、機(jī)房等）的訪客。此外，還將采用先進(jìn)的加密技術(shù)來構(gòu)建一個(gè)高精度的視覺監(jiān)控系統(tǒng)，以便更好地保護(hù)這些關(guān)鍵的場(chǎng)所。部署安全視頻存儲(chǔ)等，可依托服務(wù)器密鑰管理機(jī)、簽名驗(yàn)證服務(wù)器、時(shí)間戳服務(wù)器實(shí)現(xiàn)對(duì)門禁數(shù)據(jù)及視頻監(jiān)控音像記錄的保護(hù)。

（二）網(wǎng)絡(luò)和通信安全

對(duì)于商業(yè)密碼應(yīng)用進(jìn)行了一系列的安全性評(píng)估，涵蓋了身份驗(yàn)證、設(shè)備連接認(rèn)證、訪問控制信息、數(shù)據(jù)完整性、機(jī)密性、集中管理通道安全以及密碼模塊的實(shí)施等方面。測(cè)評(píng)對(duì)象包括交換機(jī)、堡壘機(jī)、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)安全運(yùn)維人員、技術(shù)文檔。

經(jīng)過現(xiàn)場(chǎng)測(cè)試，可以確認(rèn)通信信道的完整性和可靠性。然后根據(jù)被測(cè)信息系統(tǒng)的實(shí)際情況來決定是否符合要求以及是否需要改進(jìn)。

針對(duì)指標(biāo)要求，可通過國(guó)密SSL/IPSEC VPN確保設(shè)備及人員身份的真實(shí)性、訪問控制信息的完整性、保證通信數(shù)據(jù)/報(bào)文的完整性、保密性；通過國(guó)密SSL/IPSEC VPN實(shí)現(xiàn)網(wǎng)絡(luò)邏輯邊界的管控，并能夠建立集中管理的安全數(shù)據(jù)傳輸通道；通過堡壘機(jī)保證內(nèi)網(wǎng)設(shè)備的集中管控，配合國(guó)密SSL技術(shù)（安全瀏覽器/國(guó)密VPN）實(shí)現(xiàn)遠(yuǎn)程登錄安全。

（三）設(shè)備和計(jì)算安全

對(duì)于商業(yè)密碼應(yīng)用，還進(jìn)行了安全性評(píng)估，涵蓋了身份驗(yàn)證、設(shè)備連接認(rèn)證、訪問控制信息、數(shù)據(jù)完整性、機(jī)密性、集中管理通道安全以及密碼模塊的實(shí)施等方面。測(cè)評(píng)對(duì)象包括交換機(jī)、堡壘機(jī)、系統(tǒng)管理員、數(shù)據(jù)庫管理員、業(yè)務(wù)服務(wù)器、數(shù)據(jù)庫服務(wù)器、證書服務(wù)器、密鑰管理服務(wù)器、技術(shù)文檔。

經(jīng)過現(xiàn)場(chǎng)測(cè)試后，可以準(zhǔn)確地評(píng)估服務(wù)器和存儲(chǔ)設(shè)備的性能。根據(jù)被測(cè)信息系統(tǒng)的實(shí)際情況，將其分為完全符合、部分符合以及不完全符合三類。

針對(duì)指標(biāo)要求，可通過協(xié)同簽名、USBKEY+數(shù)字證書確保設(shè)備及人員身份的真實(shí)性；可通過SSL VPN實(shí)現(xiàn)遠(yuǎn)程管理通道安全；通過服務(wù)器密碼機(jī)、數(shù)據(jù)庫加密機(jī)、文件加密實(shí)現(xiàn)數(shù)據(jù)庫、文件重要敏感信息的機(jī)密性、完整性保障；各環(huán)節(jié)密碼技術(shù)采用國(guó)密算法，確保密碼算法符合國(guó)密局相關(guān)要求。

（四）應(yīng)用和數(shù)據(jù)安全

商用密碼應(yīng)用安全性評(píng)估的應(yīng)用和數(shù)據(jù)安全評(píng)估，通過密碼技術(shù)實(shí)現(xiàn)真實(shí)性、機(jī)密性、完整性和來源真實(shí)性。測(cè)評(píng)對(duì)象包括：應(yīng)用系統(tǒng)管理員、操作系統(tǒng)、存儲(chǔ)各類密鑰的管理系統(tǒng)、技術(shù)文檔。

通過現(xiàn)場(chǎng)測(cè)評(píng)，可以準(zhǔn)確地評(píng)估系統(tǒng)的應(yīng)用和數(shù)據(jù)安全性。根據(jù)被測(cè)信息系統(tǒng)的實(shí)際情況來決定是否符合要求，以及是否需要進(jìn)一步改進(jìn)。

針對(duì)指標(biāo)要求，可通過協(xié)同簽名、USBkey、數(shù)字證書、確保應(yīng)用用戶、管理員、審計(jì)員身份的真實(shí)性；通過國(guó)密瀏覽器、SSL VPN、服務(wù)器密碼機(jī)、簽名驗(yàn)證服務(wù)器、時(shí)間戳服務(wù)器等實(shí)現(xiàn)系統(tǒng)傳輸、存儲(chǔ)數(shù)據(jù)的機(jī)密性、完整性；通過協(xié)同簽名實(shí)現(xiàn)移動(dòng)端身份認(rèn)證、傳輸安全，以及數(shù)字簽名與驗(yàn)證、加密與解密，確保移動(dòng)端應(yīng)用數(shù)據(jù)的完整性、機(jī)密性；采用數(shù)字簽名保障原送和接收行為不可否認(rèn)性；涉及的密碼技術(shù)采用國(guó)密算法，確保密碼算法符合國(guó)密局相關(guān)要求。

（五）密鑰管理

密鑰管理是一個(gè)復(fù)雜的系統(tǒng)，它涉及從密鑰的產(chǎn)生到銷毀的各個(gè)環(huán)節(jié)，其中可能會(huì)出現(xiàn)安全隱患，因此必須采取有效措施來確保系統(tǒng)的密鑰安全。為此，必須對(duì)每一個(gè)密鑰的使用時(shí)間、密鑰長(zhǎng)度進(jìn)行嚴(yán)格的限制，并且確保所有的密鑰管理操作都是由符合規(guī)范的密碼產(chǎn)品或密碼模塊完成的。

為了確保信息系統(tǒng)的安全，需要仔細(xì)研究各種不同的密鑰流動(dòng)方式，包括但不限于產(chǎn)品、模塊、服務(wù)器等。再建立一個(gè)完整的密鑰流動(dòng)記錄，以便工作人員能夠準(zhǔn)確地記錄每個(gè)步驟，包括產(chǎn)品、模塊、服務(wù)器、數(shù)據(jù)庫、操作員、管理員、數(shù)據(jù)庫管理員等，以確保所有的數(shù)據(jù)都能夠被有效地傳輸。

為了確保公司的信息安全，建議使用經(jīng)過嚴(yán)格審批的密碼產(chǎn)品。同時(shí)，根據(jù)安全管理的需要，建立專業(yè)的密碼管理團(tuán)隊(duì)，并嚴(yán)格遵守安全標(biāo)準(zhǔn)，確保公司的信息安全。

（六）安全管理

基于原有安全管理體系，責(zé)任單位可以進(jìn)一步拓展，將密碼應(yīng)用、產(chǎn)品、密鑰等多個(gè)方面納入其中，以確保安全性。測(cè)評(píng)對(duì)象包括安全管理類文檔、安全管理員。

通過現(xiàn)場(chǎng)測(cè)評(píng)，準(zhǔn)確地評(píng)估安全管理制度的完善情況，并以此來決定是否符合要求，以及是否需要進(jìn)一步改進(jìn)。

四、結(jié)束語

為了確保安全和符合法律法規(guī)，推進(jìn)密碼算法應(yīng)用與技術(shù)改造，以便在現(xiàn)有的和未經(jīng)授權(quán)的情況下重塑和優(yōu)化應(yīng)用系統(tǒng)。這就需要技術(shù)人員將現(xiàn)存的信息系統(tǒng)與經(jīng)授權(quán)的信息系統(tǒng)相結(jié)合，使它們能夠通過使用相同的API接口，實(shí)現(xiàn)數(shù)據(jù)的加解密、完整性保護(hù)、簽名/驗(yàn)證和權(quán)限識(shí)別。只有這樣，才能夠確保實(shí)際應(yīng)用能夠符合法律法規(guī)的要求。

參? 考? 文? 獻(xiàn)

[1]霍煒，郭啟全，馬原.商用密碼應(yīng)用與安全性評(píng)估[M].電子工業(yè)出版社出版，2020.

[2]中華人民共和國(guó)密碼法[Z].2020-01-01.

[3]商用密碼應(yīng)用安全性評(píng)估管理辦法（試行）[Z].2017-04-22.

鄧晶晶（1986-），女，漢族，遼寧鐵嶺，中級(jí)工程師，研究方向：信息安全；

許敬偉（1986-），男，漢族，山東日照，中級(jí)工程師，研究方向：信息安全；

陳麗茉（1995-），女，漢族，廣東普寧，職軟件運(yùn)維崗，研究方向：信息安全；

盧冠杰（1996-），男，漢族，廣東肇慶，研究方向：信息安全。