商用密碼應用解決方案編寫指南
隨著互聯網的興起，基于數字證書的PKI技術得到大力發展，經過技術不斷的發展和創新，我國商用密碼產業蓬勃發展。隨著一系列密碼算法標準、密碼算法協議等行業標準的制定和發布，我國商用密碼標準體系逐漸成型。
密評是國家相關法律法規等明確要求的，在數觀天下團隊之前推出的“三方共謀商密生態”系列中我們了解到，大部分甲方公司內部已經根據不同業務進行系統梳理，且陸續在開展各項密評工作。但據目前市場而言，大部分密碼應用方案是無法完全符合甲方要求的，那么該如何有效編寫？
數觀天下團隊分別以甲方、集成商、三方角度進行分析，從項目、角色、標準、技術框架等方向提供相應建議，以下內容僅代表數觀天下團隊分析，如有不同意見可與我們共同商榷探討。
一、項目建議
在開展密碼應用建設與安全性評估工作時，需要根據項目所處階段，采用針對性策略。
1、售前交流階段
對處于售前交流階段，應根據國家密碼局的要求，在上報審批前，完成密碼應用方案的編寫、專家審核等工作，項目預算不僅要包含密碼應用建設經費，還要包括密碼應用安全性評估經費，還要考慮后續的商密改造費用。
2、已經中標正在建設階段
對處于正在建設階段，如果需要采購密碼安全產品，建議采用項目變更進行處理，應優先安排密碼應用安全性評估的經費，對部分重要業務應用系統進行商密處理時要綜合考慮加解密過程對應用系統性能所產生的影響。
3、已經驗收正在運維階段
對處于驗證且正在運維階段，要充分與建設單位溝通，明確商密應用和安全性評估的政策要求，促使建設單位盡可能另外立項，同時根據商用密碼安全性評估的要求，同步建設應用系統商密改造方案，明確項目改造實施工作量。
二、商用密碼應用中不同的角色
在商用密碼整體應用中，分為密碼廠商、集成商、網絡與信息系統責任單位、測評機構和測評人員、密碼管理部門五大角色，我們認為其中集成商的技術水平和能力直接決定商用密碼應用的效果。
以下為密碼集成商的三種角色：
1、密碼應用方案的撰寫者
商用密碼保障系統應隨著項目同步規劃、同步建設、同步運行，并定期開展商用密碼安全性評估，其中密碼應用建設方案是前提條件。
商用密碼應用方案應包括密碼應用解決方案、密碼實施方案、密碼應急處置方案三個部分組成。
2、密碼產品的實施者
在系統實施過程中，實施者要根據商用密碼應用方案的要求，完成設備的采購、部署、聯調、測試、上線等工作。尤其是涉及不同密碼設備廠家的產品，及時協調廠商進行適配。
3、商密安全性評估的配合者
在開展商密安全性評估過程中，應配合測評單位進行安全性評估，提供網絡架構圖和實施文檔，評估商密測評對整個項目帶來的風險。
三、 密碼應用解決方案-科普類
【此篇幅建議從科普知識、政策方面、技術標準入手】
1、密評改造中的密碼是什么？
這里人們通常以為就是每天接觸的計算機或手機開機“密碼”、電子郵箱登錄“密碼”、銀行卡支付“密碼”等。生活中的這些“密碼”實際上屬于口令，是一種基于密碼技術的簡單認證手段，是最常見的密碼。
真正意義上的密碼是指采用特定變換的方法對信息等進行加密保護、安全認證的技術、產品和服務。
加密保護：就是將明文變換成密文，再進行傳輸和存儲。
身份認證：驗證一個信息、一個身份、一個行為是否真實。
2、從密碼政策方面指出為什么要密改，可從以下幾方面入手
《網絡安全等級保護條例》
第四十七條【非涉密網絡密碼保護】非涉密網絡應當按照國家密碼管理法律法規和標準的要求，使用密碼技術、產品和服務。第三級以上網絡應當采用密碼保護，并使用國家密碼管理部門認可的密碼技術、產品和服務。
《商用密碼應用安全性評估管理辦法（試行）》--2017年國家密碼管理局發布施行
第三條涉及國家安全和社會公共利益的重要領域網絡和信息系統的建設、使用、管理單位（責任單位），應當健全密碼保障體系，實施商用密碼應用安全性評估。
重要領域網絡和信息系統包括：基礎信息網絡、涉及國計民生和基礎信息資源的重要信息系統、重要工業控制系統、面向社會服務的政務信息系統、以及關鍵信息基礎設施、網絡安全等級保護第三級及以上信息系統。
《商用密碼管理條例（修訂草案征求意見稿）》公開征求意見的通知--國家密碼管理局
第五十八條非涉密的關鍵信息基礎設施、網絡安全等級保護第三級以上網絡、國家政務信息系統等網絡與信息系統的運營者，違反本條例第三十八條、第三十九條規定，未按照要求使用商用密碼，或者未按照要求開展商用密碼應用安全性評估的，由密碼管理部門責令改正，給予警告；拒不改正或者有其他嚴重情節的，處十萬元以上一百萬元以下罰款，對直接負責的主管人員處一萬元以上十萬元以下罰款。
《金融和重要領域密碼應用與創新發展工作規劃（2018-2022年）通知》36號文
總體目標：指2022年實現國產密碼在金融和重要領域的全面應用。
應用范圍：電子政務密碼應用。積極推薦檢察、公安、海關、稅務、市場監管等系統政務密碼的應用。
應用場景：電子印章、電子文件、電子證照、電子憑證網上報銷等。
《政務信息系統密碼應用和安全性評估工作指南（2020版本）》
1. 根據《國家政務信息化項目建設管理辦法》第十五條要求“項目建設單位應當落實國家密碼管理有關法律法規和標準規范的要求，同步規劃、同步建設、同步運行密碼保障系統并定期進行評估”，即政務信息系統中的密碼保障系統應做到“三同步一評估”。
2. 政務信息系統采用電子認證服務的，項目建設單位需選擇具有電子政務電子認證服務資質的機構。
3. 在政務信息系統規劃階段，項目建設單位分析系統現狀，對系統面臨的安全風險和風險控制需求進行分析，明確密碼應用需求，根據系統的網絡安全保護等級，依據《基本要求》等相關標準，編制政務信息系統密碼應用方案。密碼應用方案通過密評是項目立項的必要條件。
四、密碼應用解決方案-需求類
此處只列舉部分政務行業需求分析，其他行業需根據項目情況編寫。
1、政務服務統一身份認證業務需求
2、政務服務電子印章業務需求
3、移動證書和傳統USBKEY證書雙模式應用需求
4、電子標書的安全保障需求
5、窗口工作人員及辦事人員身份可信需求
6、數據傳輸加密、防篡改需求
五、密碼應用解決方案-技術類
【此篇幅建議從技術標準入手，主要是以下幾個方面】
根據GB/T39786-2021《信息安全技術 信息系統密碼應用基本要求》
適用范圍：指導、規范和評估信息系統密碼應用的規劃、建設、運行及測評。
技術層面：物理和環境安全、網絡和通信安全、設備與計算安全、應用和數據安全。
技術要求：管理制度、人員管理、建設運行、應急處置。
改造標準：密碼改造參照一到四級的密碼等級要求需做升級改造服務。
密碼應用標準技術要求
密碼應用主要產品：
- USBKey：提供簽名驗簽、雜湊等密碼運算服務，同時提供一定的存儲空間，用于存放數字證書或電子印章等用戶數據。USBKey又細分為身份鑒別Key和電子印章Key。
- 移動端密碼模塊（二級）：提供簽名驗簽、加密解密、雜湊等密碼運算服務，同時提供一定的存儲空間，用于存放數字證書。
- 瀏覽器密碼模塊（二級）：提供簽名驗簽、加密解密、雜湊等密碼運算服務，實現信息的完整性、真實性和不可否認性保護，同時提供一定的存儲空間，用于存放數字證書。
- SSLVPN安全網關：用于在網絡上建立安全的信息傳輸通道，通過對數據包的加密和數據包目標地址的轉換實現遠程訪問，進行加密通信。
- IPSecVPN：提供通信前通信雙方身份鑒別、通信數據傳輸機密性、完整性保護等功能，對設備在通信前進行雙向身份鑒別。
- 安全認證網關：提供用戶管理、身份鑒別、單點登錄、傳輸加密、訪問控制和安全審計等服務。
- 安全門禁系統：滿足國標要求，使用SM4算法進行密鑰分散，實現門禁卡的“一卡一密”，并基于SM4算法對人員身份進行鑒別鑒別。
- 服務器密碼機：為應用系統提供數據加解密、簽名驗簽、雜湊等密碼運算服務，同時提供安全、完善的密鑰管理功能。
- 證書認證系統：為設備/用戶的身份鑒別提供真實性、身份驗證、簽名驗簽等信任服務。
- 簽名驗簽服務器：提供基于PKI體系和數字證書的數字簽名、驗證簽名等運算功能。
- 時間戳服務器：用于應用系統用戶證明某些數據的產生時間，支撐公鑰基礎設施的“不可否認”服務。
- 電子簽章系統：提供電子公章的簽章、驗章服務，實現電子公文流轉，部門協同辦公。
六、密碼應用解決方案-典型應用框架
1.火電廠電力監控系統的密碼應用研究
在火電廠電力監控系統中，采用密碼技術實現遠程安全加密通信、身份認證、訪問控制等安全措施，提供身份鑒別、數據源認證、數據加密、數據完整性等多種安全功能，有效抵抗竊取網絡信息、篡改網絡數據、網絡重放攻擊等，確保火電電力生產數據存儲和傳輸的機密性和完整性、控制指令的數據源有效性等，實現了火電廠電力監控系統網絡信息系統的真實性、完整性和機密性三大安全目標。
火電廠電力監控系統密碼技術應用框架
密碼資源層：為火電廠電力監控系統提供基礎性的密碼算法資源，包括底層的分組算法、公鑰算法、雜湊算法、隨機數生成算法等以及上層算法軟件、算法IP核、算法芯片等對底層基礎算法的封裝且基礎算法采用國家商用密碼算法。
密碼支撐層：提供發電領域密碼應用的基礎密碼模塊／設備，包括基于安全芯片、采集設備、現場測量設備、密碼卡／機等各類業務密碼設備。
密碼服務層：為火電廠電力監控系統提供密碼應用接口服務，包括為應用系統提供數據的機密性保護功能的對稱密碼服務；為應用系統提供身份認證、數據完整性保護功能的公鑰密碼服務。
應用系統層：調用密碼服務層提供的密碼應用程序接口，實現所需的數據加解密、數字簽名驗證等功能。電力監控系統：包括分散控制系統DCS、廠級監控系統SIS等。
密碼基礎管理設施：作為火電廠電力監控系統中相對獨立和基礎的組件，為密碼資源層、密碼支撐層、密碼服務層和應用系統層提供密鑰管理。
火電廠電力監控系統密碼產品部署示意圖
2.通用密碼應用研究
數觀天下團隊通過深入研究行業用戶場景，結合GB/T 39786-2021《信息安全技術 信息系統密碼應用基本要求》、《商用密碼應用與安全性評估》及各大知名廠商解決方案進行綜合分析，分別從密碼政策、密碼產品、密碼管理、基本要求、密碼防護架構、密碼應用場景和密碼態勢感知平臺這七個方面構建出一套密碼安全防護體系，從頂層設計的高度解讀了商用密碼防護方式不是單一的，而是一個完整的生態鏈。板塊內容詳解如下：
商用密碼防護體系
密碼防護體系主要根據GB/T39786-2021《信息安全技術 信息系統密碼應用基本要求》進行整理，主要分為密碼模塊、物理和環境、網絡和通信、設備和計算、應用和數據五大層次防護。
密碼模塊主要要求需采用符合相關標準要求的密碼模塊或通過國家密碼管理部門核準的硬件密碼產品實現密碼運算和密鑰管理。
物理和環境防護主要有電子門禁系統出入記錄、視頻監控音頻的記錄、身份鑒別等。
網絡和通信防護主要對通信過程中的敏感字段加密、網絡邊界訪問控制、身份鑒別、安全準入認證為主。
設備和計算防護主要為安全審計、遠程管理、身份鑒別訪問控制信息等。
應用和數據防護主要有數據傳輸加密、數據存儲加密、安全審計、身份鑒別、訪問控制等。
3.智慧城市防護體系
智慧城市是一個復雜巨系統，包含了物聯感知、數據匯聚與共享、政務協同、惠民服務、城市公共設施管理、城市監管與科學決策等方方面面的應用，其安全保障需求也更加復雜。
智慧城市綜合運用物聯網、云計算和大數據等新技術，全面整合城市信息化資源，圍繞智慧城市建設的全方位、多層次、多維度安全保障需求，主要從“統”“保”“服”“管”支撐智慧城市的密碼應用保障工作。
智慧城市密碼應用體系框架
應用框架基于商用密碼的數據全生命周期的安全，保障智慧城市中關鍵信息基礎設施的安全，從感、傳、知（城市大腦的云平臺、大數據）、用（各類智慧業務應用、各類用戶）四個層次形成一體化的密碼技術保障體系。利用基于密碼技術的身份認證、訪問控制、授權管理、數據加解密、可信計算、密態計算、密文檢索、數據脫敏、數據分級分類、數據標簽等技術措施，構建數據從產生、采集、存儲、傳輸、分析、應用、安全交換共享、數據隱私保護等安全為一體的智慧城市密碼應用安全技術體系，解決隱私無法保護、數據源不真實、身份仿冒、可用不可見、數據無法追蹤溯源、身份不統一等風險下的身份識別、使用處理權出讓下的數據保護、數據安全共享交換、數據濫用等問題，滿足智慧城市下的數據基礎資源防護、組織和共享防護、計算和分析防護、應用和服務防護等安全需求。
4.視頻監控密碼應用體系
5G、邊緣計算等新一代信息通信技術極大地賦能視頻監控業務場景，促進視頻監控更加廣泛、深入、智能地服務應用。以密碼為核心構建5G邊緣計算視頻監控的安全體系，就是要將安全以基因化形式注入5G邊緣計算視頻監控場景中，有效保障開放網絡環境中的業務安全問題，確保視頻監控業務應用的安全可持續發展，為5G+視頻安全乃至5G+垂直行業安全提供密碼應用及安全范例，推動5G產業的安全發展。基于5G邊緣計算的視頻監控密碼應用框架。
基于5G邊緣計算的視頻監控密碼應用框架
密碼應用框架以密碼基礎、密碼設備、密碼服務為支撐，在視頻監控終端、邊緣計算平臺、云平臺實施密碼安全防護，有力保障5G視頻監控在智能城市、安防監控、消費監控、視頻AI等領域的安全應用。
密碼支撐涵蓋密碼基礎、密碼設備、密碼服務三個方面。
密碼基礎指的是國家密碼管理機構批準核實的密碼算法、密碼協議、密碼接口，即基于國產商用密碼的算法、協議及接口。
密碼設備為部署在終端、邊緣、云端的密碼產品，包括密碼芯片、IP核、密碼模塊、（云）密碼機、（云）密碼卡、密碼中間件等。
密碼服務指的是密碼運算、密鑰管理、證書管理、統一信任等安全服務。終端密碼應用指的是為攝像頭、IoT監控設備等提供的設備身份認證、端視頻安全、監控安全接入、設備權限管控等密碼能力。
邊緣計算密碼應用包括節點安全、網絡安全、數據安全、應用安全、安全管理編排等方面的密碼應用。云平臺密碼應用包括邊云密碼協同、統一密碼態勢、視頻業務安全等方面的密碼應用。
5.政務云密碼應用架構
政務云平臺匯集和處理大量的政府公共敏感數據、個人隱私等重要數據，存在被泄露或被盜用的風險。數據從采集、預處理、傳輸、存儲、分析、共享到銷毀全生命周期的各個環節都存在著安全風險，應對重要數據進行機密性、完整性保護，防止被非法查看、惡意篡改等。政務云密碼應用技術架構，由政務云租戶終端密碼應用、政務云管道、政務云平臺密碼應用、云平臺運維管理和密碼監管等五部分組成。
政務云密碼應用技術架構
政務云租戶終端密碼應用指互聯網租戶終端和政務外網租戶終端，負責為政務云用戶提供各類業務應用操作功能；
政務云管道指政務云租戶終端與政務云平臺之間的安全傳輸管道，承載租戶終端用戶到云平臺間業務數據的傳輸保護；
政務云平臺密碼應用指政務云平臺上承載實現的各類密碼應用服務，包括接入區邊界密碼應用、政務外網業務區密碼應用和互聯網業務區密碼應用，通過密碼設備集群和密碼服務資源池為云平臺自身和各云租戶單位業務應用提供各類密碼服務資源；
密碼監管指在密碼主管部門設立密碼監管平臺，負責對政務云平臺使用的密碼設備進行密碼監管與安全審計；
安全運維管理是指通過云服務提供商、政務云管理單位和云租戶三方角色劃分與協同工作，保障政務云整體安全防護能力。
6.移動終端密碼應用架構
移動智能終端在高安全、大額度的交易應用需求中，必須采用數字簽名、加密等措施，保護交易的安全性。一般性應用中，最低應該采用密碼模塊（提供數字簽名、加密等功能）方式，目前密碼模塊遵循的主要標準是《密碼模塊技術要求》和《密碼模塊檢測要求》。
移動智能終端密碼應用框架
移動終端密碼解決方案-手機盾產品由運行在開放操作系統（Android）中的客戶端SDK與運行在可信執行環境（TEE）中的可信應用（TA）、安全芯片（SE）中Applet和后臺系統組成。
七、分享密碼改造過程中的幾點建議
1、熟悉國產密碼升級改造的要求；
合規性原則、交付敏捷性原則、適用性原則、擴展性原則、高可靠/高安全性原則、統一設計原則、先進性原則。
2、熟悉待改造的系統技術細節；
目前已通過國密局認可的算法體系大致分為三大類，即對稱算法、非對稱算法、摘要算法，每種算法都有其優缺點，因此在實際應用場景中一般采用這些算法的組合形式來實現身份認證、數據性、完整性和不可否認性等安全需求。
3、解決密碼產品、集成產品系統性能問題；
目前部分系統較為復雜，商密改造困難較大，對系統性能影響較大，因此，建議對已建系統的商密改造需要多注意系統兼容性問題。
4、熟悉密碼改造的實施流程。
主要目標是根據密碼應用實施方案，完成密碼升級改造的實施工作。
