大地资源网视频在线观看新浪,日本春药精油按摩系列,成人av骚妻潮喷,国产xxxx搡xxxxx搡麻豆

商用密碼應(yīng)用安全性測評(píng)(以下簡稱“密評(píng)”)是指對(duì)采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)和信息系統(tǒng)密碼應(yīng)用的合規(guī)性、正確性、有效性進(jìn)行評(píng)估。根據(jù)我國頒布的《密碼法》及《商用密碼管理?xiàng)l例》相關(guān)要求，各類信息系統(tǒng)中涉及密碼應(yīng)用的部分應(yīng)按照相關(guān)標(biāo)準(zhǔn)要求，采用國家商用密碼算法，采用國密標(biāo)準(zhǔn)的密碼應(yīng)用模式，并對(duì)信息系統(tǒng)進(jìn)行相應(yīng)的合規(guī)性改造，實(shí)現(xiàn)信息平臺(tái)滿足《網(wǎng)絡(luò)安全法》、《密碼法》、信息系統(tǒng)等保三級(jí)要求以及信息系統(tǒng)密碼應(yīng)用合規(guī)性相關(guān)法規(guī)、政策、標(biāo)準(zhǔn)要求。

漁翁信息憑借20余年網(wǎng)絡(luò)安全及密碼領(lǐng)域工作經(jīng)驗(yàn)，基于信息系統(tǒng)密碼應(yīng)用現(xiàn)狀，為用戶量身打造一套符合相關(guān)要求的密碼應(yīng)用體系，并積累了豐富的密評(píng)整改經(jīng)驗(yàn)和項(xiàng)目案例，通過對(duì)用戶密碼應(yīng)用現(xiàn)狀進(jìn)行詳細(xì)調(diào)研和評(píng)估，充分調(diào)研當(dāng)前密碼算法、密碼資產(chǎn)和密碼應(yīng)用情況，明確整改環(huán)節(jié)和整改方法，形成完善的密碼測評(píng)整改方案，幫助用戶完成密碼算法及密碼應(yīng)用方式的改造。

一.密碼應(yīng)用測評(píng)要求

依據(jù)《中華人民共和國密碼法》規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，委托商用密碼檢測機(jī)構(gòu)開展商用密碼應(yīng)用安全性評(píng)估。信息系統(tǒng)密碼測評(píng)工作遵循GB/T 39786-2021《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》。

1).密碼算法方面測評(píng)要求

信息系統(tǒng)中使用的密碼算法應(yīng)當(dāng)符合法律、法規(guī)的規(guī)定和密碼相關(guān)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的要求。常用的國產(chǎn)密碼算法有SM1、SM2、SM3、SM4、SM9等密碼算法。

業(yè)務(wù)系統(tǒng)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、密碼設(shè)備所使用的密碼算法應(yīng)進(jìn)行全面細(xì)致梳理，按照《密碼法》及相關(guān)政策標(biāo)準(zhǔn)要求，將信息系統(tǒng)中所使用的密碼算法全部替換成國家密碼行政主管部門認(rèn)可的密碼算法，或在保留原算法基礎(chǔ)上，進(jìn)行國密算法加固。

2).密碼設(shè)備方面測評(píng)要求

信息系統(tǒng)中使用的密碼產(chǎn)品與密碼模塊應(yīng)通過國家密碼管理部門核準(zhǔn)。產(chǎn)品必須取得商用密碼產(chǎn)品型號(hào)證書或者信息安全產(chǎn)品密碼檢測證書。典型的密碼產(chǎn)品有數(shù)字證書認(rèn)證系統(tǒng)(CA)、密鑰管理系統(tǒng)(KM)、服務(wù)器密碼機(jī)、IPSec/SSL VPN安全網(wǎng)關(guān)、簽名驗(yàn)簽服務(wù)器、時(shí)間戳服務(wù)器、智能密碼鑰匙。

現(xiàn)有系統(tǒng)中已有的密碼產(chǎn)品，通過國家密碼管理部門核準(zhǔn)，且符合對(duì)于密碼算法要求并正常使用的，繼續(xù)保留。對(duì)于未通過國家密碼管理部門核準(zhǔn)，或采用的密碼算法不符合要求，根據(jù)設(shè)備使用情況逐步進(jìn)行更換。

3).物理和環(huán)境安全方面測評(píng)要求

應(yīng)使用密碼技術(shù)的真實(shí)性功能來保護(hù)物理訪問控制身份鑒別信息，保證重要區(qū)域進(jìn)入人員身份的真實(shí)性;

應(yīng)使用密碼技術(shù)的完整性功能來保證電子門禁系統(tǒng)進(jìn)出記錄的完整性;

應(yīng)使用密碼技術(shù)的完整性功能來保證視頻監(jiān)控音像記錄的完整性。

4).網(wǎng)絡(luò)和通信安全方面測評(píng)要求

應(yīng)在通信前基于密碼技術(shù)對(duì)通信雙方進(jìn)行身份認(rèn)證，使用密碼技術(shù)的機(jī)密性和真實(shí)性功能來實(shí)現(xiàn)防截獲、防、和防重用，保證傳輸過程中鑒別信息的機(jī)密性和網(wǎng)絡(luò)設(shè)備實(shí)體身份的真實(shí)性;

應(yīng)使用密碼技術(shù)的完整性功能來保證網(wǎng)絡(luò)邊界和系統(tǒng)資源訪問控制信息的完整性;

應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。

應(yīng)采用密碼技術(shù)保證通信過程中敏感信息數(shù)據(jù)字段或整個(gè)報(bào)文的機(jī)密性;

應(yīng)采用密碼技術(shù)建立一條安全的信息傳輸通道，對(duì)網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行集中管理。

5).設(shè)備和計(jì)算安全方面測評(píng)要求

應(yīng)使用密碼技術(shù)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)的鑒別，身份標(biāo)識(shí)具有性，身份鑒別信息具有復(fù)雜度要求并定期更換;

在

應(yīng)使用密碼技術(shù)的完整性功能來保證系統(tǒng)資源訪問控制信息的完整性;

應(yīng)使用密碼技術(shù)的完整性功能來保證重要信息資源敏感標(biāo)記的完整性;

應(yīng)采用可信計(jì)算技術(shù)建立從系統(tǒng)到應(yīng)用的信任鏈，實(shí)現(xiàn)系統(tǒng)運(yùn)行過程中重要程序或完整性保護(hù);

應(yīng)能采用密碼技術(shù)的完整性功能來對(duì)日志記錄進(jìn)行完整性保護(hù)。

6).應(yīng)用和數(shù)據(jù)安全方面密評(píng)要求

應(yīng)使用密碼技術(shù)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，實(shí)現(xiàn)身份鑒別信息的防截獲、防和防重用，保證信息系統(tǒng)用戶身份的真實(shí)性;

應(yīng)采用密碼技術(shù)的完整性功能來保證業(yè)務(wù)信息系統(tǒng)訪問控制策略、數(shù)據(jù)庫表訪問控制信息和重要信息資源敏感標(biāo)記等信息的完整性;

應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸、存儲(chǔ)過程中的機(jī)密性，包括但不限與鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要用戶信息等;

應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要用戶信息、重要可執(zhí)行程序等;

應(yīng)使用密碼技術(shù)的完整性功能來實(shí)現(xiàn)對(duì)日志記錄完整性的保護(hù);

應(yīng)采用密碼技術(shù)對(duì)重要應(yīng)用程序的加載和卸載進(jìn)行安全控制。

7).密鑰安全管理方面測評(píng)要求

第三級(jí)信息系統(tǒng)密鑰管理應(yīng)包括對(duì)密鑰的生成、存儲(chǔ)、分發(fā)、導(dǎo)入、導(dǎo)出、使用、備份、恢復(fù)、歸檔、銷毀等環(huán)節(jié)進(jìn)行管理和策略制定的全過程，并滿足：

密鑰生成

密鑰生成使用的隨機(jī)數(shù)應(yīng)符合GM/T 0005要求，密鑰應(yīng)在符合GM/T 0028的密碼模塊中產(chǎn)生;密鑰應(yīng)在密碼模塊內(nèi)部產(chǎn)生，不得以明文方式出現(xiàn)在密碼模塊之外;應(yīng)具備檢查和剔除弱密鑰的能力。

密鑰存儲(chǔ)

密鑰應(yīng)加密存儲(chǔ),并采取嚴(yán)格的安全防護(hù)措施，防止密鑰被非法獲取;密鑰加密密鑰應(yīng)存儲(chǔ)在符合GM/T 0028的二級(jí)及以上密碼模塊中。

密鑰分發(fā)

密鑰分發(fā)應(yīng)采取身份鑒別、數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性等安全措施,應(yīng)能夠抗截取、、篡改、重放等攻擊，保證密鑰的安全性。

密鑰導(dǎo)入與導(dǎo)出

應(yīng)采取安全措施，防止密鑰導(dǎo)入導(dǎo)出時(shí)被非法獲取或篡改，并保證密鑰的正確性。

密鑰使用

密鑰應(yīng)明確用途,并按用途正確使用;對(duì)于公鑰密碼體制，在使用公鑰之前應(yīng)對(duì)其進(jìn)行驗(yàn)證;應(yīng)有安全措施防止密鑰的泄露和替換;密鑰泄露時(shí)，應(yīng)停止使用，并啟動(dòng)相應(yīng)的應(yīng)急處理和響應(yīng)措施。應(yīng)按照密鑰更換周期要求更換密鑰;應(yīng)采取有效的安全措施，保證密鑰更換時(shí)的安全性。

密鑰備份與恢復(fù)

應(yīng)制定明確的密鑰備份策略，采用安全可靠的密鑰備份恢復(fù)機(jī)制，對(duì)密鑰進(jìn)行備份或恢復(fù);密鑰備份或恢復(fù)應(yīng)進(jìn)行記錄，并生成審計(jì)信息;審計(jì)信息包括備份或恢復(fù)的主體、備份或恢復(fù)的時(shí)間等。

密鑰歸檔

應(yīng)采取有效的安全措施,保證歸檔密鑰的安全性和正確性;歸檔密鑰只能用于解密該密鑰加密的歷史信息或驗(yàn)證該密鑰簽名的歷史信息;密鑰歸檔應(yīng)進(jìn)行記錄，并生成審計(jì)信息;審計(jì)信息包括歸檔的密鑰、歸檔的時(shí)間等;歸檔密鑰應(yīng)進(jìn)行數(shù)據(jù)備份,并采用有效的安全保護(hù)措施。

密鑰銷毀

應(yīng)具有在緊急情況下銷毀密鑰的措施。

8).密碼安全管理制度測評(píng)要求

應(yīng)制定密碼安全管理制度及操作規(guī)范、安全操作規(guī)范。密碼安全管理制度在包括密碼建設(shè)、運(yùn)維、人員、設(shè)備、密鑰等密碼管理相關(guān)內(nèi)容;

應(yīng)定期對(duì)密碼安全管理制度的合理性和適用性進(jìn)行論證和審定，對(duì)存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂;

應(yīng)明確相關(guān)管理制度發(fā)布流程。

二.密碼應(yīng)用技術(shù)框架

根據(jù)信息系統(tǒng)的部署方式和實(shí)現(xiàn)業(yè)務(wù)功能，在滿足總體性、完備性、經(jīng)濟(jì)性原則的基礎(chǔ)上，通過部署漁翁(智能密碼鑰匙、服務(wù)器密碼機(jī)、簽名驗(yàn)簽服務(wù)器、SSL VPN安全網(wǎng)關(guān)、安全認(rèn)證網(wǎng)關(guān)、IPSec VPN安全網(wǎng)關(guān)、瀏覽器密碼模塊(二級(jí))、TF加密卡、電子簽章系統(tǒng)、數(shù)字證書認(rèn)證系統(tǒng)、安全門禁系統(tǒng)、時(shí)間戳服務(wù)器)密碼產(chǎn)品，并正確部署配置，以滿足信息系統(tǒng)的密碼應(yīng)用需求。

1.物理和環(huán)境安全

在信息系統(tǒng)所在機(jī)房部署符合GM/T 0036-2014《采用非接觸卡的門禁系統(tǒng)密碼應(yīng)用指南》的電子門禁系統(tǒng)，使用SM4 算法進(jìn)行密鑰分散， 實(shí)現(xiàn)門禁卡的“ 一卡一密”，并基于SM4算法對(duì)人員身份進(jìn)行鑒別。

在系統(tǒng)環(huán)境監(jiān)控區(qū)部署漁翁服務(wù)器密碼機(jī)，實(shí)現(xiàn)對(duì)電子門禁系統(tǒng)進(jìn)出記錄和視頻監(jiān)控系統(tǒng)視頻記錄等數(shù)據(jù)進(jìn)行完整性保護(hù)，密鑰存儲(chǔ)在服務(wù)器密碼機(jī)中，不涉及密鑰分發(fā)、導(dǎo)入與導(dǎo)出，密鑰的備份與恢復(fù)、歸檔和銷毀由密碼設(shè)備管理員負(fù)責(zé)。

2.網(wǎng)絡(luò)和通信安全

在信息系統(tǒng)網(wǎng)絡(luò)接入?yún)^(qū)和數(shù)據(jù)災(zāi)備區(qū)分別部署漁翁信息IPSec VPN安全網(wǎng)關(guān)，對(duì)進(jìn)行數(shù)據(jù)備份的設(shè)備在通信前進(jìn)行身份鑒別;并建立安全的數(shù)據(jù)備份傳輸通道。

在信息系統(tǒng)統(tǒng)一管理區(qū)部署符合漁翁SSL VPN 安全網(wǎng)關(guān)，建立安全的集中管理通道。

3.設(shè)備和計(jì)算安全

在信息系統(tǒng)業(yè)務(wù)辦公區(qū)PC 端部署安全瀏覽器，并向系統(tǒng)管理員配發(fā)漁翁智能密碼鑰匙，對(duì)登錄堡壘機(jī)用戶進(jìn)行身份鑒別和遠(yuǎn)程管理身份鑒別信息傳輸機(jī)密性保護(hù)，防止非人員登錄、管理員遠(yuǎn)程登錄身份鑒別信息被非竊取。

在信息系統(tǒng)應(yīng)用服務(wù)區(qū)部署漁翁服務(wù)器密碼機(jī)，并在應(yīng)用服務(wù)器外掛漁翁智能密碼鑰匙，應(yīng)用服務(wù)器中所有重要程序或文件在生成時(shí)通過調(diào)用服務(wù)器密碼機(jī)使用SM2 數(shù)字簽名技術(shù)進(jìn)行完整性保護(hù);使用或讀取這些程序和文件時(shí)，通過智能密碼鑰匙進(jìn)行驗(yàn)簽以確認(rèn)其完整性，公鑰存放在智能密碼鑰匙中。

調(diào)用部署在應(yīng)用服務(wù)區(qū)中的服務(wù)器密碼機(jī)，對(duì)應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器等設(shè)備日志進(jìn)行完整性保護(hù)。

4.應(yīng)用和數(shù)據(jù)安全

在信息系統(tǒng)移動(dòng)端部署符合漁翁TF加密卡，在網(wǎng)絡(luò)接入?yún)^(qū)邊界部署漁翁安全認(rèn)證網(wǎng)關(guān)，在系統(tǒng)基礎(chǔ)設(shè)施區(qū)部署漁翁ca數(shù)字證書認(rèn)證系統(tǒng)，通過證書認(rèn)證系統(tǒng)分別向TF加密卡、安全認(rèn)證網(wǎng)關(guān)配置數(shù)字證書，實(shí)現(xiàn)移動(dòng)端登錄應(yīng)用用戶的安全身份鑒別，防止非人員登錄;

在信息系統(tǒng)業(yè)務(wù)辦公區(qū)PC 端部署安全瀏覽器，在業(yè)務(wù)服務(wù)區(qū)部署漁翁SSL VPN安全網(wǎng)關(guān)，并向相關(guān)用戶配發(fā)智能密碼鑰匙，實(shí)現(xiàn)對(duì)PC 端登錄應(yīng)用用戶的安全身份鑒別，防止非人員登錄。

在網(wǎng)絡(luò)接入?yún)^(qū)部署漁翁簽名驗(yàn)簽服務(wù)器，使用數(shù)字簽名技術(shù)對(duì)統(tǒng)一身份認(rèn)證系統(tǒng)應(yīng)用用戶訪問權(quán)限控制列表進(jìn)行完整性保護(hù)，防止應(yīng)用資源被非用戶獲取。

在業(yè)務(wù)服務(wù)區(qū)分別部署漁翁服務(wù)器密碼機(jī)和SSL VPN 安全網(wǎng)關(guān)，應(yīng)用通過調(diào)用服務(wù)器密碼機(jī)，對(duì)移動(dòng)端登錄用戶身份鑒別數(shù)據(jù)、PC 端登錄用戶身份鑒別數(shù)據(jù)、系統(tǒng)中流轉(zhuǎn)的電子公文數(shù)據(jù)進(jìn)行傳輸、存儲(chǔ)機(jī)密性、完整性保護(hù)，實(shí)現(xiàn)身份鑒別數(shù)據(jù)、電子公文數(shù)據(jù)防竊取和防篡改保護(hù);PC 端安全瀏覽器與SSL VPN 安全網(wǎng)關(guān)之間使用合規(guī)的SSL 協(xié)議，建立安全的數(shù)據(jù)傳輸通道，實(shí)現(xiàn)數(shù)據(jù)傳輸機(jī)密性、完整性保護(hù)。

應(yīng)用通過調(diào)用部署在業(yè)務(wù)服務(wù)區(qū)的服務(wù)器密碼機(jī)，實(shí)現(xiàn)對(duì)應(yīng)用日志記錄進(jìn)行完整性保護(hù)，防止應(yīng)用日志記錄被非篡改。

在基礎(chǔ)設(shè)施區(qū)部署漁翁電子簽章系統(tǒng)、時(shí)間戳服務(wù)器，使用密碼技術(shù)對(duì)在系統(tǒng)中流轉(zhuǎn)的電子公文數(shù)據(jù)進(jìn)行數(shù)字簽名，并加蓋時(shí)間戳，實(shí)現(xiàn)操作行為的不可否認(rèn)性。

5.密鑰管理安全方面

信息系統(tǒng)選用漁翁智能密碼鑰匙、SSL VPN 安全網(wǎng)關(guān)、IPSec VPN安全網(wǎng)關(guān)、簽名驗(yàn)簽服務(wù)器、服務(wù)器密碼機(jī)、時(shí)間戳服務(wù)器、安全門禁系統(tǒng)、安全電子簽章系統(tǒng)、數(shù)字證書認(rèn)證系統(tǒng)、TF加密卡等商用密碼產(chǎn)品，根據(jù)商用密碼產(chǎn)品提供的安全策略，制定密鑰管理方案，并嚴(yán)格遵照該方案進(jìn)行使用和實(shí)施。