原创 | 密评系列之：专业解读密评与0054（4）

写在前面：密评与0054系列已经进行到第4篇了，有读者反馈看的不过瘾，为何不一次更新更多内容。小编想说：密评与0054系列是专业、严谨的内容，写作需要反复的校对和参考大量文献，需要时间。另外，每次更新一个重点内容，方便大家易读好记。小编也是煞费苦心啊~

本篇为大家带来密评中的合规密码组件的第二部分：密码技术。

无论吃饭睡觉结婚，会让你等的男生就不是好男生。

好端端的这是说的什么话？

无论读书看报学密评，会让你等的男生就不是好男生。

嘿，在这等着我呢！不要着急。上一篇中我们介绍了密评中的合规密码组件的第一部分：密码算法，本篇继续介绍第二部分：密码技术。

上期内容回顾：原创 | 密评系列之：专业解读密评与0054（3）

密码技术：

密码技术是指使用特定变换对数据等进行加密保护或者安全认证的技术。

1）从功能上看，密码技术主要包括加密保护技术和安全认证技术。其中加密保护是指使用特定变换,把原来可读的信息变成不能识别的符号序列，通俗来讲就是信息加密，主要用于保证信息的机密性;安全认证是指使用特定变换,确认信息是否被篡改、是否来自可靠信息源以及确认行为是否真实等，主要用于实现信息的真实性、数据的完整性和行为的不可否认性。密码技术实现的功能解决的正好是0054标准中的密码功能要求的机密性、完整性、真实性和不可否认性。

2）从内容上看，密码技术主要包括密码算法、密钥管理和密码协议。

等等，我知道密码算法，因为上期讲过了。但密钥管理和密码协议是什么呢？

正要说呢。密钥管理是根据安全策略，对密钥的产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁等进行全生命周期的管理。密钥是密码安全的根本，需要进行严格管理，在0054标准中将密钥管理专门作为一个章节提出了相关要求，可见其重要性。

再说密码协议，密码协议是指两个或两个以上参与者使用密码算法，为达到加密保护或安全认证目的而约定的交互规则。密码协议是将密码算法等应用于具体使用环境的重要密码技术。

诶，说到密码技术，这块我最近有做过功课。现在给大家分享一下常用的密码技术有哪些吧。

常用密码技术有哪些：

数字证书：数字证书是指CA机构发行的一种电子文档，含有用户的身份信息以及公钥。我国采用双证书、双密钥体系，包括加密证书（密钥）和签名证书（密钥），加密证书（密钥）主要用于数据加解密或密钥协商等，签名证书（密钥）主要用于数据签名或身份认证等。

身份认证：证实主体的真实身份与其所声称的身份是否相符的过程，和密码相关的身份认证主要包括基于动态口令、标识和数字证书的身份认证。

数据加解密：包括传输数据加解密和存储数据加解密，针对数据的加解密，一般使用非对称密码算法进行对称密钥的密钥协商或者分发，利用对称密码算法对实际数据进行加解密。对于用户口令的存储保护，也可以使用杂凑算法进行“加密”保护。

数据完整性保护：包括信息摘录技术和数字签名技术，能够防止数据被非法篡改，其中信息摘录主要通过杂凑算法实现，数字签名主要通过非对称密码算法实现。

网络和通讯安全：保障信息在传输形式中实现的可用性、完整性、可靠性以及具有较大的机密性。密码主要用来实现完整性和机密性。

讲的很全面啦，给你个赞。

我们之前讲过，密评的基本原则之一就是要做到合规性。什么是合规的密码技术呢？划重点啦。

何为合规的密码技术：

信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。

由于密码技术主要包括密码算法、密钥管理和密码协议等，因此密码技术要合规：

首先，密码技术中使用的密码算法应该是合规的密码算法。

其次，在密码算法中，密钥是控制密码变换的关键参数，对于密钥的管理要符合0054标准中密钥管理的要求。

最后，密码技术中涉及的标准密码协议应符合国内相关密码标准，如果是自定义的密码协议，设计要安全合理，同时遵循相关密码标准。

比如：
针对数字证书，我们要遵循《GM/T 0015-2012 基于SM2密码算法的数字证书格式规范》。

针对数据加解密和数据完整性保护，我们要遵循《GM/T 0010-2012 SM2 密码算法加密签名消息语法规范》。

针对网络和通讯安全，我们要遵循《GM/T 0022-2014 IPSec VPN 技术规范》和《GM/T 0024-2014 SSL VPN 技术规范》。

好了，密评的基本原则之密码技术合规性篇完结，咱们......

我知道你要说什么，“欲知后事如何，且听下回分解”是吧？

你可真了解我。下期为大家带来密码产品篇，请保持关注！

未完待续

海泰方圆提供内容支持