海泰密码全能力赋能密评 0054

本文作者：北京海泰方圆科技股份有限公司研发中心总经理 Frank

《中华人民共和国密码法》于2020年1月1日正式实施，其中明确了开展商用密码应用安全性评估（以下简称密评）。

密评中评估的对象是密码应用，也就是要使用密码的信息系统，因此信息系统要通过密评，就需要进行密码改造或合规建设。

目前国内大量的信息系统要么没有使用密码，要么使用密码多数也是使用的国外密码，合规使用国密算法的系统有限。因此为了让已在运行信息系统的安全性尽快得到提升，并且满足密评的要求，针对信息系统的密码改造，如何做到高效易改造，并且合规专业，就是非常迫切的一个需求。

密评工作主要依据的标准是国密局2018年2月发布的《GM/T 0054-2018 信息系统密码应用基本要求》，其中对于信息系统密码应用针对总体要求、密码功能要求、密码技术应用要求、密钥管理和安全管理等方面都做了具体的要求。

相对于之前侧重于关注采用算法和产品等的合规性以外，密评重点关注密码应用的合规性、正确性和有效性的评估。评估的内容不但包括建设的密码保障系统，还包括编写的密码应用方案。

密评在密码技术应用的具体要求中，也涵盖了物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等各个方面，单纯由不同的密码厂商提供不同的密码产品，已经不能够满足现阶段密评的需求。因此就迫切需要密码应用厂商具有全面的密码能力，为信息系统提供全面的密码应用服务。

海泰方圆公司经过17年多的密码技术深度积淀，形成了密码应用的专业咨询规划、综合解决方案、密码项目建设和后期运行维护“四步走”的服务，业务全面覆盖信息系统中涉及密码保障的同步规划、建设和运行各阶段，是一家具备全面密码能力的公司。

针对密码功能要求的四性：机密性、完整性、真实性和不可否认性，我们分别研发了相应的产品并取得了国密局的产品型号证书，通过它们提供相应的服务。

机密性

通过数据加解密服务平台（SJT1811）提供应用层面的传输和存储机密性保护，通过红莲花国密浏览器（SHM1602）或国密算法中间件（SHM1902）与SSL VPN建立国密SSL通道提供网络层面的传输机密性保护。

完整性和不可否认性

通过电子文件安全验证系统（SRT1716）提供完整性保护和不可否认认定。

真实性

通过身份认证系统（SRT1602）提供身份认证功能。

通过SSL密码模块（SHM1902 ）调用智能密码钥匙（SJK19102）提供身份认证功能。

我们不但研发了相应的密码产品，同时具备整合其他密码产品的能力，针对上述密码产品，我们整合成一个统一的密码安全服务平台HT-CSSP（以下简称为平台），通过主动或者被动的方式统一为信息系统提供所需的密码服务。被动的方式主要是通过接口服务的形式让信息系统进行调用，主动的方式主要是通过平台的配置对信息系统进行保护。被动的方式更灵活，主动的方式更易改造，各有优缺点，可以根据不同的需求组合使用。

针对物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个层面，我们通过平台可以提供全面的密码技术措施。具体包括：

物理和环境安全

通过合规的电子门禁系统，确保对进行信息系统所在机房等重要区域的身份认证，该部分功能可以独立进行部署。

通过平台中的可信验证服务，为电子门禁系统进出记录和视频监控音像记录等数据提供主动或被动的完整性保护。

网络和通讯安全

通过红莲花国密浏览器和SSL VPN实现通信双方的身份鉴别，通信过程中敏感数据的机密性、完整性保护。通过平台的多应用支撑服务可以对红莲花国密浏览器进行策略配置和运行维护。

设备和计算安全

通过国密算法中间件调用智能密码钥匙，可以实现对设备用户的身份认证。

通过平台中的数据加解密服务，对远程管理时管理员的身份鉴别信息进行机密性保护。

通过平台中的可信验证服务，对计算机、服务器等设备中的相关信息进行完整性保护

应用和数据安全

通过合规的第三方电子认证服务或平台中的身份认证服务，对应用系统的用户进行身份认证。

通过平台中的可信验证服务，对应用系统的相关信息、存储的重要数据、重要日志记录等进行完整性保护。

通过红莲花国密浏览器和SSL VPN或平台中的数据加解密服务，保护客户端与服务器之间、应用系统之间传输的机密性。

通过平台中的可信验证服务，对可能涉及法律责任认定的操作行为进行不可否认认定。

同时多年的密码经验积累，也能保证我们能够针对信息系统的需求提供完整、合规、安全的密钥管理方案，确保密钥的生成、存储、分发、导入、导出、使用、备份、恢复、归档、销毁等全生命周期的安全。也能够针对信息系统的制度、人员、实施和应急等四个方面的安全管理措施提供相应的服务。

文章转载自：海泰方圆 公众号

* 商用密码与区块链共推数字经济发展