• 密評評分(fēn)

5. 評測過程：

5. 評測報告：評測最後階段由評測機構編寫評測報告，評測報告一般一式4份，1份提交國(guó)家密碼管理(lǐ)局、1份提交被評測單位所屬省部密碼管理(lǐ)部門、1份提交委托單位、1份由評測機構留存。

密評技(jì )術要求

密評主要針對涉及到商(shāng)用(yòng)密碼的網絡和信息系統。這裏的商(shāng)用(yòng)密碼指對不涉及國(guó)家秘密内容的信息進行加密保護或者安(ān)全認證所使用(yòng)的密碼技(jì )術、密碼産(chǎn)品和密碼服務(wù)。

• 密碼技(jì )術：采用(yòng)特定變換的方法對信息進行加密保護、安(ān)全認證的技(jì )術。如SM3哈希算法、SM4分(fēn)組密碼算法、SM2公(gōng)鑰密碼算法等。
• 密碼産(chǎn)品：實現密碼功能(néng)、承載密碼技(jì )術的實體(tǐ)，包括密碼機、密碼芯片和模塊等。
• 密碼服務(wù)：基于密碼技(jì )術和産(chǎn)品，實現密碼功能(néng)，提供密碼保障的行為(wèi)。

密改：又(yòu)稱國(guó)密改造，是通過密評的重要一步，被評測信息系統需要經過密改，從而支持國(guó)産(chǎn)商(shāng)用(yòng)密碼，并達到安(ān)全、合規、正确、有(yǒu)效的要求。從密評技(jì )術要求上分(fēn)析，需要在物(wù)理(lǐ)和環境安(ān)全、網絡和通信安(ān)全、設備和計算安(ān)全、應用(yòng)和數據安(ān)全四個方面上借助商(shāng)用(yòng)密碼技(jì )術、産(chǎn)品或服務(wù)，實現密改。

業界主推的密改技(jì )術路徑主要有(yǒu)三條：“免”改造、“重”改造和“易”改造。

• 免改造：信息系統無需進行密改，隻需簡單配置
• 重改造：信息系統調用(yòng)複雜的基礎密碼産(chǎn)品接口完成密改，如對接服務(wù)器密碼機、簽名(míng)驗證服務(wù)器等
• 易改造：信息系統使用(yòng)針對密評研發的專業密碼服務(wù)産(chǎn)品，無改動或較少改動信息系統來實現密改。

密碼應用(yòng)技(jì )術架構

• 信息系統實體(tǐ)身份真實性/身份鑒别、重要數據機密性、重要數據完整性以及操作(zuò)行為(wèi)的不可(kě)否認性。
• 密鑰生命周期安(ān)全：密鑰生成、使用(yòng)、存儲、備份、恢複、歸檔、導入導出以及銷毀等 其中(zhōng)，密鑰生命周期安(ān)全可(kě)以借助服務(wù)器密碼機或者密鑰管理(lǐ)系統來完成，因此信息系統密改工(gōng)作(zuò)集中(zhōng)在第一點。密碼應用(yòng)技(jì )術架構整體(tǐ)也是圍繞技(jì )術要求的四個方面來規劃和落地。

物(wù)理(lǐ)和環境安(ān)全

物(wù)理(lǐ)和環境安(ān)全：對重要物(wù)理(lǐ)區(qū)域（如：機房）出入人員采用(yòng)密碼技(jì )術進行身份鑒别，并對門禁進出記錄、視頻監控數據進行完整性保護。

• 身份鑒别：機房需要部署國(guó)密門禁讀卡器，通過國(guó)密門禁IC卡和國(guó)密門禁讀卡器，基于國(guó)密算法，實現用(yòng)戶身份鑒别。讀卡器和門禁卡必須具(jù)有(yǒu)國(guó)家密碼管理(lǐ)部門頒發的認證證書。如：光電(diàn)安(ān)辰國(guó)密門禁設備等
• 重要數據完整性：門禁記錄數據、視頻監控記錄數據存儲需要保證完整性。如：門禁記錄通過門禁管理(lǐ)系統進行完整性保護、視頻監控記錄通過視頻監控管理(lǐ)系統進行完整性保護。這類系統一般采用(yòng)内置密碼卡或者外接密碼機的方式，并通過SM3-HMAC對重要數據進行完整性保護。注：密碼機、密碼卡和視頻監控管理(lǐ)系統需要具(jù)有(yǒu)國(guó)家密碼管理(lǐ)部門頒發的認證證書

網絡和通信安(ān)全

網絡和通信安(ān)全：對業務(wù)系統網絡通信實體(tǐ)，采用(yòng)密碼技(jì )術進行身份鑒别，并對傳輸數據進行機密性和完整性保護。

• 身份鑒别：登錄業務(wù)系統采用(yòng)國(guó)密浏覽器，浏覽器到安(ān)全網關等通信實體(tǐ)雙方通過國(guó)密SSL協議進行身份鑒别，通過國(guó)密SSL證書使用(yòng)SM2、SM3和SM4算法實現通信雙方真實性，後端需要采用(yòng)具(jù)備商(shāng)用(yòng)密碼産(chǎn)品認證證書的安(ān)全網關。
• 通信數據完整性：浏覽器與安(ān)全網關之間通信采用(yòng)國(guó)密SSL，使用(yòng)ECC_SM4_CBC_SM3實現數據傳輸的完整性，後端需要采用(yòng)具(jù)備商(shāng)用(yòng)密碼産(chǎn)品認證證書的安(ān)全網關。
• 通信數據的機密性：浏覽器與安(ān)全網關之間通信采用(yòng)國(guó)密SSL，使用(yòng)ECC_SM4_CBC_SM3實現數據傳輸的機密性，後端需要采用(yòng)具(jù)備商(shāng)用(yòng)密碼産(chǎn)品認證證書的安(ān)全網關。注：國(guó)密SSL需要支持國(guó)密雙證（簽名(míng)證書+加密證書）

設備和計算安(ān)全

設備和計算安(ān)全：運維管理(lǐ)員在對業務(wù)系統進行運維時，需要采用(yòng)密碼技(jì )術進行身份鑒别，并保障網絡環境中(zhōng)服務(wù)器、應用(yòng)程序、訪問記錄等重要數據的完整性。

• 身份鑒别：對于遠(yuǎn)程運維人員采用(yòng)SSL VPN安(ān)全網關進行身份鑒别；對于内部運維人員，采用(yòng)基于密碼技(jì )術的身份認證堡壘機進行身份鑒别。
• 重要數據完整性：堡壘機訪問記錄完整性保護，調用(yòng)密碼産(chǎn)品基于SM3-HMAC密碼算法實現完整性保護；業務(wù)系統等服務(wù)器訪問記錄以及重要業務(wù)日志(zhì)完整性保護，采用(yòng)專門的日志(zhì)服務(wù)器，借助服務(wù)器密碼機采用(yòng)HMAC-SM3密碼算法對訪問記錄/日志(zhì)進行計算并定期進行校驗。
  
  
  日志(zhì)服務(wù)完整性生成和校驗，功能(néng)流程如下：
  
  

應用(yòng)和數據安(ān)全

應用(yòng)和數據安(ān)全：用(yòng)戶和管理(lǐ)員在訪問業務(wù)系統時，需要采用(yòng)密碼技(jì )術進行身份鑒别，對重要業務(wù)數據傳輸的機密性和完整性、重要業務(wù)數據存儲的機密性和完整性進行保護。應用(yòng)和數據安(ān)全是密改的重要一環。

• 身份鑒别：業務(wù)系統登錄使用(yòng)雙因子認證，采用(yòng)用(yòng)戶名(míng)/口令和Ukey進行身份鑒别，業務(wù)人員私鑰和數字證書保存在Ukey中(zhōng)。後端通過SM4算法對口令進行加密存儲，通過SM2算法對UKey簽名(míng)進行驗證，密碼算法由密碼機提供。UKey和密碼機需要具(jù)有(yǒu)商(shāng)用(yòng)密碼産(chǎn)品認證證書
• 機密性：業務(wù)數據需要采用(yòng)SM4進行加密傳輸，後端需要對數據進行SM4加密存儲。密碼算法由具(jù)有(yǒu)商(shāng)用(yòng)密碼産(chǎn)品認證證書的密碼機或密碼卡提供。
• 完整性：業務(wù)數據通過SM3-SM2進行數字簽名(míng)後傳輸，後端通過調用(yòng)基礎密碼産(chǎn)品進行簽名(míng)驗證。業務(wù)數據存儲完整性通過對存儲數據進行SM3-SM2簽名(míng)或者SM3-HMAC哈希值進行保存完成。密碼算法由具(jù)有(yǒu)商(shāng)用(yòng)密碼産(chǎn)品認證證書的密碼機或密碼卡提供。

雙因子認證UKey流程：

結語

本文(wén)未對密評管理(lǐ)要求做深入介紹，隻針對技(jì )術要求中(zhōng)需要進行密改的地方進行了詳細介紹。密評重點考察信息系統中(zhōng)商(shāng)用(yòng)密碼使用(yòng)的合規性、正确性和有(yǒu)效性。應用(yòng)和數據安(ān)全是密改的重中(zhōng)之重，也是重改造的地方，其他(tā)方面可(kě)以通過采購(gòu)合規的密碼産(chǎn)品或服務(wù)達到易改造、免改造的效果。

​文(wén)章來源：密碼應用(yòng)技(jì )術實戰