• 密評評分

5. 評測過程：

5. 評測報告：評測最後階段由評測機構編寫評測報告，評測報告一(one)般一(one)式4份，1份提交國家密碼管理局、1份提交被評測單位所屬省部密碼管理部門、1份提交委托單位、1份由評測機構留存。

密評技術要(want)求

密評主要(want)針對涉及到(arrive)商用(use)密碼的(of)網絡和(and)信息系統。這(this)裏的(of)商用(use)密碼指對不(No)涉及國家秘密内容的(of)信息進行加密保護或者安全認證所使用(use)的(of)密碼技術、密碼産品和(and)密碼服務。

• 密碼技術：采用(use)特定變換的(of)方法對信息進行加密保護、安全認證的(of)技術。如SM3哈希算法、SM4分組密碼算法、SM2公鑰密碼算法等。
• 密碼産品：實現密碼功能、承載密碼技術的(of)實體，包括密碼機、密碼芯片和(and)模塊等。
• 密碼服務：基于(At)密碼技術和(and)産品，實現密碼功能，提供密碼保障的(of)行爲(for)。

密改：又稱國密改造，是(yes)通過密評的(of)重要(want)一(one)步，被評測信息系統需要(want)經過密改，從而支持國産商用(use)密碼，并達到(arrive)安全、合規、正确、有效的(of)要(want)求。從密評技術要(want)求上分析，需要(want)在(exist)物理和(and)環境安全、網絡和(and)通信安全、設備和(and)計算安全、應用(use)和(and)數據安全四個(indivual)方面上借助商用(use)密碼技術、産品或服務，實現密改。

業界主推的(of)密改技術路徑主要(want)有三條：“免”改造、“重”改造和(and)“易”改造。

• 免改造：信息系統無需進行密改，隻需簡單配置
• 重改造：信息系統調用(use)複雜的(of)基礎密碼産品接口完成密改，如對接服務器密碼機、簽名驗證服務器等
• 易改造：信息系統使用(use)針對密評研發的(of)專業密碼服務産品，無改動或較少改動信息系統來(Come)實現密改。

密碼應用(use)技術架構

• 信息系統實體身份真實性/身份鑒别、重要(want)數據機密性、重要(want)數據完整性以(by)及操作(do)行爲(for)的(of)不(No)可否認性。
• 密鑰生(born)命周期安全：密鑰生(born)成、使用(use)、存儲、備份、恢複、歸檔、導入導出(out)以(by)及銷毀等 其中，密鑰生(born)命周期安全可以(by)借助服務器密碼機或者密鑰管理系統來(Come)完成，因此信息系統密改工作(do)集中在(exist)第一(one)點。密碼應用(use)技術架構整體也是(yes)圍繞技術要(want)求的(of)四個(indivual)方面來(Come)規劃和(and)落地(land)。

物理和(and)環境安全

物理和(and)環境安全：對重要(want)物理區域（如：機房）出(out)入人(people)員采用(use)密碼技術進行身份鑒别，并對門禁進出(out)記錄、視頻監控數據進行完整性保護。

• 身份鑒别：機房需要(want)部署國密門禁讀卡器，通過國密門禁IC卡和(and)國密門禁讀卡器，基于(At)國密算法，實現用(use)戶身份鑒别。讀卡器和(and)門禁卡必須具有國家密碼管理部門頒發的(of)認證證書。如：光電安辰國密門禁設備等
• 重要(want)數據完整性：門禁記錄數據、視頻監控記錄數據存儲需要(want)保證完整性。如：門禁記錄通過門禁管理系統進行完整性保護、視頻監控記錄通過視頻監控管理系統進行完整性保護。這(this)類系統一(one)般采用(use)内置密碼卡或者外接密碼機的(of)方式，并通過SM3-HMAC對重要(want)數據進行完整性保護。注：密碼機、密碼卡和(and)視頻監控管理系統需要(want)具有國家密碼管理部門頒發的(of)認證證書

網絡和(and)通信安全

網絡和(and)通信安全：對業務系統網絡通信實體，采用(use)密碼技術進行身份鑒别，并對傳輸數據進行機密性和(and)完整性保護。

• 身份鑒别：登錄業務系統采用(use)國密浏覽器，浏覽器到(arrive)安全網關等通信實體雙方通過國密SSL協議進行身份鑒别，通過國密SSL證書使用(use)SM2、SM3和(and)SM4算法實現通信雙方真實性，後端需要(want)采用(use)具備商用(use)密碼産品認證證書的(of)安全網關。
• 通信數據完整性：浏覽器與安全網關之間通信采用(use)國密SSL，使用(use)ECC_SM4_CBC_SM3實現數據傳輸的(of)完整性，後端需要(want)采用(use)具備商用(use)密碼産品認證證書的(of)安全網關。
• 通信數據的(of)機密性：浏覽器與安全網關之間通信采用(use)國密SSL，使用(use)ECC_SM4_CBC_SM3實現數據傳輸的(of)機密性，後端需要(want)采用(use)具備商用(use)密碼産品認證證書的(of)安全網關。注：國密SSL需要(want)支持國密雙證（簽名證書+加密證書）

設備和(and)計算安全

設備和(and)計算安全：運維管理員在(exist)對業務系統進行運維時(hour)，需要(want)采用(use)密碼技術進行身份鑒别，并保障網絡環境中服務器、應用(use)程序、訪問記錄等重要(want)數據的(of)完整性。

• 身份鑒别：對于(At)遠程運維人(people)員采用(use)SSL VPN安全網關進行身份鑒别；對于(At)内部運維人(people)員，采用(use)基于(At)密碼技術的(of)身份認證堡壘機進行身份鑒别。
• 重要(want)數據完整性：堡壘機訪問記錄完整性保護，調用(use)密碼産品基于(At)SM3-HMAC密碼算法實現完整性保護；業務系統等服務器訪問記錄以(by)及重要(want)業務日志完整性保護，采用(use)專門的(of)日志服務器，借助服務器密碼機采用(use)HMAC-SM3密碼算法對訪問記錄/日志進行計算并定期進行校驗。
  
  
  日志服務完整性生(born)成和(and)校驗，功能流程如下：
  
  

應用(use)和(and)數據安全

應用(use)和(and)數據安全：用(use)戶和(and)管理員在(exist)訪問業務系統時(hour)，需要(want)采用(use)密碼技術進行身份鑒别，對重要(want)業務數據傳輸的(of)機密性和(and)完整性、重要(want)業務數據存儲的(of)機密性和(and)完整性進行保護。應用(use)和(and)數據安全是(yes)密改的(of)重要(want)一(one)環。

• 身份鑒别：業務系統登錄使用(use)雙因子認證，采用(use)用(use)戶名/口令和(and)Ukey進行身份鑒别，業務人(people)員私鑰和(and)數字證書保存在(exist)Ukey中。後端通過SM4算法對口令進行加密存儲，通過SM2算法對UKey簽名進行驗證，密碼算法由密碼機提供。UKey和(and)密碼機需要(want)具有商用(use)密碼産品認證證書
• 機密性：業務數據需要(want)采用(use)SM4進行加密傳輸，後端需要(want)對數據進行SM4加密存儲。密碼算法由具有商用(use)密碼産品認證證書的(of)密碼機或密碼卡提供。
• 完整性：業務數據通過SM3-SM2進行數字簽名後傳輸，後端通過調用(use)基礎密碼産品進行簽名驗證。業務數據存儲完整性通過對存儲數據進行SM3-SM2簽名或者SM3-HMAC哈希值進行保存完成。密碼算法由具有商用(use)密碼産品認證證書的(of)密碼機或密碼卡提供。

雙因子認證UKey流程：

結語

本文未對密評管理要(want)求做深入介紹，隻針對技術要(want)求中需要(want)進行密改的(of)地(land)方進行了(Got it)詳細介紹。密評重點考察信息系統中商用(use)密碼使用(use)的(of)合規性、正确性和(and)有效性。應用(use)和(and)數據安全是(yes)密改的(of)重中之重，也是(yes)重改造的(of)地(land)方，其他(he)方面可以(by)通過采購合規的(of)密碼産品或服務達到(arrive)易改造、免改造的(of)效果。

​文章來(Come)源：密碼應用(use)技術實戰