漁翁信息技術股份有限公司
免費會員
具體成交價以合同協議為準商用密碼應用安全性測評(以下簡稱“密評”)是指對采用商用密碼技術、產品和服務集成建設的網絡和信息系統密碼應用的合規性、正確性、有效性進行評估。根據我國頒布的《密碼法》及《商用密碼管理條例》相關要求，各類信息系統中涉及密碼應用的部分應按照相關標準要求，采用國家商用密碼算法，采用國密標準的密碼應用模式，并對信息系統進行相應的合規性改造，實現信息平臺滿足《網絡安全法》、《密碼法》、信息系統等保三級要求以及信息系統密碼應用合規性相關法規、政策、標準要求。
漁翁信息憑借20余年網絡安全及密碼領域工作經驗，基于信息系統密碼應用現狀，為用戶量身打造一套符合相關要求的密碼應用體系，并積累了豐富的密評整改經驗和項目案例，通過對用戶密碼應用現狀進行詳細調研和評估，充分調研當前密碼算法、密碼資產和密碼應用情況，明確整改環節和整改方法，形成完善的密碼測評整改方案，幫助用戶完成密碼算法及密碼應用方式的改造。
一.密碼應用測評要求
依據《中華人民共和國密碼法》規定，關鍵信息基礎設施的運營者應當使用商用密碼進行保護，委托商用密碼檢測機構開展商用密碼應用安全性評估。信息系統密碼測評工作遵循GB/T 39786-2021《信息安全技術 信息系統密碼應用基本要求》。
1).密碼算法方面測評要求
信息系統中使用的密碼算法應當符合法律、法規的規定和密碼相關國家標準、行業標準的要求。常用的國產密碼算法有SM1、SM2、SM3、SM4、SM9等密碼算法。
業務系統、服務器、網絡設備、安全設備、密碼設備所使用的密碼算法應進行全面細致梳理，按照《密碼法》及相關政策標準要求，將信息系統中所使用的密碼算法全部替換成國家密碼行政主管部門認可的密碼算法，或在保留原算法基礎上，進行國密算法加固。
2).密碼設備方面測評要求
信息系統中使用的密碼產品與密碼模塊應通過國家密碼管理部門核準。產品必須取得商用密碼產品型號證書或者信息安全產品密碼檢測證書。典型的密碼產品有數字證書認證系統(CA)、密鑰管理系統(KM)、服務器密碼機、IPSec/SSL VPN安全網關、簽名驗簽服務器、時間戳服務器、智能密碼鑰匙。
現有系統中已有的密碼產品，通過國家密碼管理部門核準，且符合對于密碼算法要求并正常使用的，繼續保留。對于未通過國家密碼管理部門核準，或采用的密碼算法不符合要求，根據設備使用情況逐步進行更換。
3).物理和環境安全方面測評要求
應使用密碼技術的真實性功能來保護物理訪問控制身份鑒別信息，保證重要區域進入人員身份的真實性;
應使用密碼技術的完整性功能來保證電子門禁系統進出記錄的完整性;
應使用密碼技術的完整性功能來保證視頻監控音像記錄的完整性。
4).網絡和通信安全方面測評要求
應在通信前基于密碼技術對通信雙方進行身份認證，使用密碼技術的機密性和真實性功能來實現防截獲、防、和防重用，保證傳輸過程中鑒別信息的機密性和網絡設備實體身份的真實性;
應使用密碼技術的完整性功能來保證網絡邊界和系統資源訪問控制信息的完整性;
應采用密碼技術保證通信過程中數據的完整性。
應采用密碼技術保證通信過程中敏感信息數據字段或整個報文的機密性;
應采用密碼技術建立一條安全的信息傳輸通道，對網絡中的安全設備或安全組件進行集中管理。
5).設備和計算安全方面測評要求
應使用密碼技術對登錄的用戶進行身份標識的鑒別，身份標識具有性，身份鑒別信息具有復雜度要求并定期更換;
在
應使用密碼技術的完整性功能來保證系統資源訪問控制信息的完整性;
應使用密碼技術的完整性功能來保證重要信息資源敏感標記的完整性;
應采用可信計算技術建立從系統到應用的信任鏈，實現系統運行過程中重要程序或完整性保護;
應能采用密碼技術的完整性功能來對日志記錄進行完整性保護。
6).應用和數據安全方面密評要求
應使用密碼技術對登錄的用戶進行身份標識和鑒別，實現身份鑒別信息的防截獲、防和防重用，保證信息系統用戶身份的真實性;
應采用密碼技術的完整性功能來保證業務信息系統訪問控制策略、數據庫表訪問控制信息和重要信息資源敏感標記等信息的完整性;
應采用密碼技術保證重要數據在傳輸、存儲過程中的機密性，包括但不限與鑒別數據、重要業務數據和重要用戶信息等;
應采用密碼技術保證重要數據在傳輸過程中的完整性，包括但不限于鑒別數據、重要業務數據、重要審計數據、重要配置數據、重要視頻數據和重要用戶信息、重要可執行程序等;
應使用密碼技術的完整性功能來實現對日志記錄完整性的保護;
應采用密碼技術對重要應用程序的加載和卸載進行安全控制。
7).密鑰安全管理方面測評要求
第三級信息系統密鑰管理應包括對密鑰的生成、存儲、分發、導入、導出、使用、備份、恢復、歸檔、銷毀等環節進行管理和策略制定的全過程，并滿足：
密鑰生成
密鑰生成使用的隨機數應符合GM/T 0005要求，密鑰應在符合GM/T 0028的密碼模塊中產生;密鑰應在密碼模塊內部產生，不得以明文方式出現在密碼模塊之外;應具備檢查和剔除弱密鑰的能力。
密鑰存儲
密鑰應加密存儲,并采取嚴格的安全防護措施，防止密鑰被非法獲取;密鑰加密密鑰應存儲在符合GM/T 0028的二級及以上密碼模塊中。
密鑰分發
密鑰分發應采取身份鑒別、數據完整性、數據機密性等安全措施,應能夠抗截取、、篡改、重放等攻擊，保證密鑰的安全性。
密鑰導入與導出
應采取安全措施，防止密鑰導入導出時被非法獲取或篡改，并保證密鑰的正確性。
密鑰使用
密鑰應明確用途,并按用途正確使用;對于公鑰密碼體制，在使用公鑰之前應對其進行驗證;應有安全措施防止密鑰的泄露和替換;密鑰泄露時，應停止使用，并啟動相應的應急處理和響應措施。應按照密鑰更換周期要求更換密鑰;應采取有效的安全措施，保證密鑰更換時的安全性。
密鑰備份與恢復
應制定明確的密鑰備份策略，采用安全可靠的密鑰備份恢復機制，對密鑰進行備份或恢復;密鑰備份或恢復應進行記錄，并生成審計信息;審計信息包括備份或恢復的主體、備份或恢復的時間等。
密鑰歸檔
應采取有效的安全措施,保證歸檔密鑰的安全性和正確性;歸檔密鑰只能用于解密該密鑰加密的歷史信息或驗證該密鑰簽名的歷史信息;密鑰歸檔應進行記錄，并生成審計信息;審計信息包括歸檔的密鑰、歸檔的時間等;歸檔密鑰應進行數據備份,并采用有效的安全保護措施。
密鑰銷毀
應具有在緊急情況下銷毀密鑰的措施。
8).密碼安全管理制度測評要求
應制定密碼安全管理制度及操作規范、安全操作規范。密碼安全管理制度在包括密碼建設、運維、人員、設備、密鑰等密碼管理相關內容;
應定期對密碼安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制度進行修訂;
應明確相關管理制度發布流程。
二.密碼應用技術框架
根據信息系統的部署方式和實現業務功能，在滿足總體性、完備性、經濟性原則的基礎上，通過部署漁翁(智能密碼鑰匙、服務器密碼機、簽名驗簽服務器、SSL VPN安全網關、安全認證網關、IPSec VPN安全網關、瀏覽器密碼模塊(二級)、TF加密卡、電子簽章系統、數字證書認證系統、安全門禁系統、時間戳服務器)密碼產品，并正確部署配置，以滿足信息系統的密碼應用需求。
1.物理和環境安全
在信息系統所在機房部署符合GM/T 0036-2014《采用非接觸卡的門禁系統密碼應用指南》的電子門禁系統，使用SM4 算法進行密鑰分散， 實現門禁卡的“ 一卡一密”，并基于SM4算法對人員身份進行鑒別。
在系統環境監控區部署漁翁服務器密碼機，實現對電子門禁系統進出記錄和視頻監控系統視頻記錄等數據進行完整性保護，密鑰存儲在服務器密碼機中，不涉及密鑰分發、導入與導出，密鑰的備份與恢復、歸檔和銷毀由密碼設備管理員負責。
2.網絡和通信安全
在信息系統網絡接入區和數據災備區分別部署漁翁信息IPSec VPN安全網關，對進行數據備份的設備在通信前進行身份鑒別;并建立安全的數據備份傳輸通道。
在信息系統統一管理區部署符合漁翁SSL VPN 安全網關，建立安全的集中管理通道。
3.設備和計算安全
在信息系統業務辦公區PC 端部署安全瀏覽器，并向系統管理員配發漁翁智能密碼鑰匙，對登錄堡壘機用戶進行身份鑒別和遠程管理身份鑒別信息傳輸機密性保護，防止非人員登錄、管理員遠程登錄身份鑒別信息被非竊取。
在信息系統應用服務區部署漁翁服務器密碼機，并在應用服務器外掛漁翁智能密碼鑰匙，應用服務器中所有重要程序或文件在生成時通過調用服務器密碼機使用SM2 數字簽名技術進行完整性保護;使用或讀取這些程序和文件時，通過智能密碼鑰匙進行驗簽以確認其完整性，公鑰存放在智能密碼鑰匙中。
調用部署在應用服務區中的服務器密碼機，對應用服務器、數據庫服務器等設備日志進行完整性保護。
4.應用和數據安全
在信息系統移動端部署符合漁翁TF加密卡，在網絡接入區邊界部署漁翁安全認證網關，在系統基礎設施區部署漁翁ca數字證書認證系統，通過證書認證系統分別向TF加密卡、安全認證網關配置數字證書，實現移動端登錄應用用戶的安全身份鑒別，防止非人員登錄;
在信息系統業務辦公區PC 端部署安全瀏覽器，在業務服務區部署漁翁SSL VPN安全網關，并向相關用戶配發智能密碼鑰匙，實現對PC 端登錄應用用戶的安全身份鑒別，防止非人員登錄。
在網絡接入區部署漁翁簽名驗簽服務器，使用數字簽名技術對統一身份認證系統應用用戶訪問權限控制列表進行完整性保護，防止應用資源被非用戶獲取。
在業務服務區分別部署漁翁服務器密碼機和SSL VPN 安全網關，應用通過調用服務器密碼機，對移動端登錄用戶身份鑒別數據、PC 端登錄用戶身份鑒別數據、系統中流轉的電子公文數據進行傳輸、存儲機密性、完整性保護，實現身份鑒別數據、電子公文數據防竊取和防篡改保護;PC 端安全瀏覽器與SSL VPN 安全網關之間使用合規的SSL 協議，建立安全的數據傳輸通道，實現數據傳輸機密性、完整性保護。
應用通過調用部署在業務服務區的服務器密碼機，實現對應用日志記錄進行完整性保護，防止應用日志記錄被非篡改。
在基礎設施區部署漁翁電子簽章系統、時間戳服務器，使用密碼技術對在系統中流轉的電子公文數據進行數字簽名，并加蓋時間戳，實現操作行為的不可否認性。
5.密鑰管理安全方面
信息系統選用漁翁智能密碼鑰匙、SSL VPN 安全網關、IPSec VPN安全網關、簽名驗簽服務器、服務器密碼機、時間戳服務器、安全門禁系統、安全電子簽章系統、數字證書認證系統、TF加密卡等商用密碼產品，根據商用密碼產品提供的安全策略，制定密鑰管理方案，并嚴格遵照該方案進行使用和實施。
