• 密評評分

5. 評測過(guò)程：

5. 評測報告：評測最後(hòu)階段由評測機構編寫評測報告，評測報告一般一式4份，1份提交國家(jiā)密碼管理局、1份提交被評測單位所(suǒ)屬省部密碼管理部門、1份提交委托單位、1份由評測機構留存。

密評技術要(yào / yāo)求

密評主要(yào / yāo)針對(duì)涉及到商用(yòng)密碼的網絡和信息系統。這裏(lǐ)的商用(yòng)密碼指對(duì)不涉及國家(jiā)秘密内容的信息進行(háng / xíng)加密保護或者安全認證所(suǒ)使用(yòng)的密碼技術、密碼産品和密碼服務。

• 密碼技術：采用(yòng)特定變換的方法對(duì)信息進行(háng / xíng)加密保護、安全認證的技術。如(rú)SM3哈希算法、SM4分組密碼算法、SM2公鑰密碼算法等。
• 密碼産品：實現密碼功能(néng)、承載密碼技術的實體，包括密碼機、密碼芯片和模塊等。
• 密碼服務：基于(yú)密碼技術和産品，實現密碼功能(néng)，提供密碼保障的行(háng / xíng)爲。

密改：又稱國密改造，是通過(guò)密評的重要(yào / yāo)一步，被評測信息系統需要(yào / yāo)經過(guò)密改，從而(ér)支持國産商用(yòng)密碼，并達到安全、合規、正确、有效的要(yào / yāo)求。從密評技術要(yào / yāo)求上分析，需要(yào / yāo)在物理和環境安全、網絡和通信安全、設備和計算安全、應用(yòng)和數據安全四個方面上借助商用(yòng)密碼技術、産品或服務，實現密改。

業界主推的密改技術路徑主要(yào / yāo)有三條：“免”改造、“重”改造和“易”改造。

• 免改造：信息系統無需進行(háng / xíng)密改，隻需簡單配置
• 重改造：信息系統調用(yòng)複雜的基礎密碼産品接口完成密改，如(rú)對(duì)接服務器密碼機、簽名驗證服務器等
• 易改造：信息系統使用(yòng)針對(duì)密評研發(fā／fà)的專業密碼服務産品，無改動或較少改動信息系統來實現密改。

密碼應用(yòng)技術架構

• 信息系統實體身份真實性/身份鑒别、重要(yào / yāo)數據機密性、重要(yào / yāo)數據完整性以及操作行(háng / xíng)爲的不可(kě)否認性。
• 密鑰生(shēng)命周期安全：密鑰生(shēng)成、使用(yòng)、存儲、備份、恢複、歸檔、導入導出以及銷毀等 其(qí)中，密鑰生(shēng)命周期安全可(kě)以借助服務器密碼機或者密鑰管理系統來完成，因此信息系統密改工作集中在第一點。密碼應用(yòng)技術架構整體也是圍繞技術要(yào / yāo)求的四個方面來規劃和落地。

物理和環境安全

物理和環境安全：對(duì)重要(yào / yāo)物理區域（如(rú)：機房）出入人員采用(yòng)密碼技術進行(háng / xíng)身份鑒别，并對(duì)門禁進出記錄、視頻監控數據進行(háng / xíng)完整性保護。

• 身份鑒别：機房需要(yào / yāo)部署國密門禁讀卡器，通過(guò)國密門禁IC卡和國密門禁讀卡器，基于(yú)國密算法，實現用(yòng)戶身份鑒别。讀卡器和門禁卡必須具有國家(jiā)密碼管理部門頒發(fā／fà)的認證證書。如(rú)：光電安辰國密門禁設備等
• 重要(yào / yāo)數據完整性：門禁記錄數據、視頻監控記錄數據存儲需要(yào / yāo)保證完整性。如(rú)：門禁記錄通過(guò)門禁管理系統進行(háng / xíng)完整性保護、視頻監控記錄通過(guò)視頻監控管理系統進行(háng / xíng)完整性保護。這類系統一般采用(yòng)内置密碼卡或者外接密碼機的方式，并通過(guò)SM3-HMAC對(duì)重要(yào / yāo)數據進行(háng / xíng)完整性保護。注：密碼機、密碼卡和視頻監控管理系統需要(yào / yāo)具有國家(jiā)密碼管理部門頒發(fā／fà)的認證證書

網絡和通信安全

網絡和通信安全：對(duì)業務系統網絡通信實體，采用(yòng)密碼技術進行(háng / xíng)身份鑒别，并對(duì)傳輸數據進行(háng / xíng)機密性和完整性保護。

• 身份鑒别：登錄業務系統采用(yòng)國密浏覽器，浏覽器到安全網關等通信實體雙方通過(guò)國密SSL協議進行(háng / xíng)身份鑒别，通過(guò)國密SSL證書使用(yòng)SM2、SM3和SM4算法實現通信雙方真實性，後(hòu)端需要(yào / yāo)采用(yòng)具備商用(yòng)密碼産品認證證書的安全網關。
• 通信數據完整性：浏覽器與安全網關之間通信采用(yòng)國密SSL，使用(yòng)ECC_SM4_CBC_SM3實現數據傳輸的完整性，後(hòu)端需要(yào / yāo)采用(yòng)具備商用(yòng)密碼産品認證證書的安全網關。
• 通信數據的機密性：浏覽器與安全網關之間通信采用(yòng)國密SSL，使用(yòng)ECC_SM4_CBC_SM3實現數據傳輸的機密性，後(hòu)端需要(yào / yāo)采用(yòng)具備商用(yòng)密碼産品認證證書的安全網關。注：國密SSL需要(yào / yāo)支持國密雙證（簽名證書+加密證書）

設備和計算安全

設備和計算安全：運維管理員在對(duì)業務系統進行(háng / xíng)運維時，需要(yào / yāo)采用(yòng)密碼技術進行(háng / xíng)身份鑒别，并保障網絡環境中服務器、應用(yòng)程序、訪問記錄等重要(yào / yāo)數據的完整性。

• 身份鑒别：對(duì)于(yú)遠程運維人員采用(yòng)SSL VPN安全網關進行(háng / xíng)身份鑒别；對(duì)于(yú)内部運維人員，采用(yòng)基于(yú)密碼技術的身份認證堡壘機進行(háng / xíng)身份鑒别。
• 重要(yào / yāo)數據完整性：堡壘機訪問記錄完整性保護，調用(yòng)密碼産品基于(yú)SM3-HMAC密碼算法實現完整性保護；業務系統等服務器訪問記錄以及重要(yào / yāo)業務日志完整性保護，采用(yòng)專門的日志服務器，借助服務器密碼機采用(yòng)HMAC-SM3密碼算法對(duì)訪問記錄/日志進行(háng / xíng)計算并定期進行(háng / xíng)校驗。
  
  
  日志服務完整性生(shēng)成和校驗，功能(néng)流程如(rú)下(xià)：
  
  

應用(yòng)和數據安全

應用(yòng)和數據安全：用(yòng)戶和管理員在訪問業務系統時，需要(yào / yāo)采用(yòng)密碼技術進行(háng / xíng)身份鑒别，對(duì)重要(yào / yāo)業務數據傳輸的機密性和完整性、重要(yào / yāo)業務數據存儲的機密性和完整性進行(háng / xíng)保護。應用(yòng)和數據安全是密改的重要(yào / yāo)一環。

• 身份鑒别：業務系統登錄使用(yòng)雙因子認證，采用(yòng)用(yòng)戶名/口令和Ukey進行(háng / xíng)身份鑒别，業務人員私鑰和數字證書保存在Ukey中。後(hòu)端通過(guò)SM4算法對(duì)口令進行(háng / xíng)加密存儲，通過(guò)SM2算法對(duì)UKey簽名進行(háng / xíng)驗證，密碼算法由密碼機提供。UKey和密碼機需要(yào / yāo)具有商用(yòng)密碼産品認證證書
• 機密性：業務數據需要(yào / yāo)采用(yòng)SM4進行(háng / xíng)加密傳輸，後(hòu)端需要(yào / yāo)對(duì)數據進行(háng / xíng)SM4加密存儲。密碼算法由具有商用(yòng)密碼産品認證證書的密碼機或密碼卡提供。
• 完整性：業務數據通過(guò)SM3-SM2進行(háng / xíng)數字簽名後(hòu)傳輸，後(hòu)端通過(guò)調用(yòng)基礎密碼産品進行(háng / xíng)簽名驗證。業務數據存儲完整性通過(guò)對(duì)存儲數據進行(háng / xíng)SM3-SM2簽名或者SM3-HMAC哈希值進行(háng / xíng)保存完成。密碼算法由具有商用(yòng)密碼産品認證證書的密碼機或密碼卡提供。

雙因子認證UKey流程：

結語

本文未對(duì)密評管理要(yào / yāo)求做深入介紹，隻針對(duì)技術要(yào / yāo)求中需要(yào / yāo)進行(háng / xíng)密改的地方進行(háng / xíng)了詳細介紹。密評重點考察信息系統中商用(yòng)密碼使用(yòng)的合規性、正确性和有效性。應用(yòng)和數據安全是密改的重中之重，也是重改造的地方，其(qí)他方面可(kě)以通過(guò)采購合規的密碼産品或服務達到易改造、免改造的效果。

​文章來源：密碼應用(yòng)技術實戰