商用密碼應(yīng)用性建設(shè)解決方案CONTENTS目錄020304密碼應(yīng)用性合規(guī)方案設(shè)計密評概述密碼相關(guān)產(chǎn)品簡介01公司簡介01公司基本情況某著名企業(yè)，是國內(nèi)網(wǎng)絡(luò)安全領(lǐng)域的專業(yè)企業(yè)。公司堅持技術(shù)創(chuàng)新和應(yīng)用創(chuàng)新雙驅(qū)動，致力于密碼技術(shù)、數(shù)據(jù)安全、工控安全、和自主可控領(lǐng)域的技術(shù)研究、產(chǎn)品研發(fā)及應(yīng)用。為政府、教育、交通、能源、軍隊、軍工、金融、電力、通訊、物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)等眾多行業(yè)提供網(wǎng)絡(luò)安全解決方案、產(chǎn)品及服務(wù)。企業(yè)概況總體技術(shù)能力圖譜全品類密碼產(chǎn)品全品類工控安全產(chǎn)品數(shù)據(jù)加解密身份認證密碼管理通信安全工控安全防護/檢測/管理可信計算業(yè)務(wù)與安全融合物聯(lián)網(wǎng)安全工業(yè)互聯(lián)網(wǎng)安全XX具備全品類密碼產(chǎn)品，可全面支撐“國密改造”、“信息系統(tǒng)密碼應(yīng)用測評”、“商密產(chǎn)品信創(chuàng)”等工作，通過密碼技術(shù)與業(yè)務(wù)系統(tǒng)深度融合構(gòu)建業(yè)務(wù)系統(tǒng)“內(nèi)生”安全機制；通過密碼與工控安全技術(shù)在物聯(lián)網(wǎng)場景的深度融合，完整構(gòu)建物聯(lián)網(wǎng)感知層與網(wǎng)絡(luò)層安全防護方案，重點解決物聯(lián)網(wǎng)數(shù)據(jù)與指令的安全問題；具備全品類工控安全產(chǎn)品，形成了完善的工控安全解決方案，可全面解決電力、能源、智能制造等場景的工控安全問題；產(chǎn)品能力全景金融數(shù)據(jù)密碼機服務(wù)器密碼機簽名驗證服務(wù)器密鑰管理系統(tǒng)各型VPN網(wǎng)關(guān)睿能（行業(yè)定制類）睿控（工控安全類）睿智（密碼類）網(wǎng)絡(luò)安全監(jiān)測裝置配網(wǎng)加密模塊&網(wǎng)關(guān)電力物聯(lián)網(wǎng)網(wǎng)關(guān)計量密碼機……工業(yè)防火墻工控監(jiān)測審計系統(tǒng)工控安全衛(wèi)士工控網(wǎng)閘集中安全管理系統(tǒng)工控入侵檢測睿盾（通用安全類）網(wǎng)絡(luò)準入系統(tǒng)隔離網(wǎng)閘堡壘機（通用+便捷式）可信計算免疫系統(tǒng)時間戳服務(wù)器統(tǒng)一密碼服務(wù)平臺加密卡USBKey漏洞掃描系統(tǒng)主機衛(wèi)士入侵檢測系統(tǒng)下一代防火墻睿聯(lián)（物聯(lián)網(wǎng)類）物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)物聯(lián)網(wǎng)邊緣計算安全裝置物聯(lián)網(wǎng)智能鎖控系統(tǒng)安全工器具智能管理系統(tǒng)桌面型加密認證裝置數(shù)據(jù)采集網(wǎng)關(guān)密碼服務(wù)算法檢測工具協(xié)議檢測工具……密碼服務(wù)能力全景密碼檢測密碼產(chǎn)品算法應(yīng)用密鑰管理體系設(shè)計漏洞檢測工具隨機性檢測工具密碼機加密網(wǎng)關(guān)……板卡、模組鏈路加密機密鑰生成密鑰存儲……密鑰分發(fā)密鑰更新國產(chǎn)算法通用算法……專用算法新算法安全服務(wù)能力全景咨詢信息系統(tǒng)建設(shè)咨詢安全解決方案咨詢安全集成能力規(guī)劃需求分析、配置資源規(guī)范流程、總體規(guī)劃設(shè)計架構(gòu)設(shè)計、流程設(shè)計性能設(shè)計、功能設(shè)計實施實施計劃、過程管理工藝流程、達成目標運維售后服務(wù)、應(yīng)急響應(yīng)駐場服務(wù)、系統(tǒng)維護安全運維能力安全咨詢等級保護咨詢ISO27001咨詢整體規(guī)劃咨詢系統(tǒng)集成咨詢新技術(shù)咨詢風險評估系統(tǒng)架構(gòu)評估漏洞掃描評估脆弱性分析滲透測試威脅分析風險分析運維與應(yīng)急響應(yīng)主機運維服務(wù)網(wǎng)絡(luò)運維服務(wù)網(wǎng)站安全監(jiān)測安全巡檢安全值守應(yīng)急響應(yīng)典型客戶02密評概述什么是密碼密碼是指使用特定變換對數(shù)據(jù)等信息進行加密保護或者安全認證的物項和技術(shù)。使用特定變換將原來可讀的信息變成不能識別的符合序列加密保護使用特定變換確認信息是否被篡改、是否來自可靠信息源以及確認行為是否真實等安全認證實現(xiàn)加密保護或安全認證功能的設(shè)備與系統(tǒng)物項物項實現(xiàn)加密保護或安全認證功能的方法或手段技術(shù)密碼是保障網(wǎng)絡(luò)與信息安全的核心商用密碼應(yīng)用現(xiàn)狀密評定義法律、行政法規(guī)和國家有關(guān)規(guī)定要求使用商用密碼進行保護的關(guān)鍵信息基礎(chǔ)設(shè)施，其運營者應(yīng)當使用商用密碼進行保護，自行或者委托商用密碼檢測機構(gòu)開展商用密碼應(yīng)用安全性評估(以下簡稱“密評”)。定義：密評是指對采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)與信息系統(tǒng)密碼應(yīng)用的合規(guī)性、正確性、有效性進行評估。開展密評，是為了解決商用密碼應(yīng)用中存在的突出問題，為網(wǎng)絡(luò)和信息系統(tǒng)的安全提供科學(xué)評價方法，逐步規(guī)范商用密碼的使用和管理。從根本上改變商用密碼應(yīng)用不廣泛、不規(guī)范、不安全的現(xiàn)狀，確保商用密碼在網(wǎng)絡(luò)和信息系統(tǒng)中有效使用，切實構(gòu)建起堅實可靠的網(wǎng)絡(luò)安全密碼屏障?！睹艽a法》第二十七條規(guī)定密評意義合規(guī)性：密碼算法、密碼技術(shù)、密碼產(chǎn)品、密碼模塊和密碼服務(wù)使用合規(guī);

正確性：密碼算法、密碼協(xié)議、密鑰管理、密碼產(chǎn)品和服務(wù)使用正確;有效性：密碼協(xié)議、密鑰管理系統(tǒng)、密碼應(yīng)用子系統(tǒng)和密碼安全防護機制不僅設(shè)計合理，在系統(tǒng)運行過程中能夠發(fā)揮密碼作用。密評對象基礎(chǔ)信息網(wǎng)絡(luò)

密評對象某著名企業(yè)網(wǎng)、廣播電視網(wǎng)、互聯(lián)網(wǎng)重要信息系統(tǒng)

能源、教育、公安、測繪地理信息、社保、交通、衛(wèi)生計生、金融等涉及國計民生和基礎(chǔ)信息資源的重要信息系統(tǒng)面向社會服務(wù)的政務(wù)信息系統(tǒng)黨政機關(guān)和使用財政性資金的事業(yè)單位和團體組織使用的面向社會服務(wù)的信息系統(tǒng)重要工業(yè)控制系統(tǒng)核設(shè)施、航空航天、先進制造、石油石化、油氣管網(wǎng)、電力系統(tǒng)、交通運輸、水利樞某省市設(shè)施等重要工業(yè)控制系統(tǒng)密評相關(guān)角色及工作簡介系統(tǒng)規(guī)劃、建設(shè)實施運行驗收、應(yīng)急預(yù)案密碼技術(shù)基本測評密碼技術(shù)應(yīng)用測評科研能力、產(chǎn)品供給解決方案、系統(tǒng)集成密碼服務(wù)密碼服務(wù)提供商密評角色系統(tǒng)責任單位測評單位規(guī)劃階段責任單位依據(jù)商用密碼技術(shù)標準，制定商用密碼應(yīng)用建設(shè)方案，組織專家或委托具有相關(guān)資質(zhì)的測評機構(gòu)進行方案評估建設(shè)階段系統(tǒng)建設(shè)完成后，責任單位應(yīng)當委托測評機構(gòu)開展密評（對照密碼應(yīng)用方案）運行階段責任單位應(yīng)當委托測評機構(gòu)定期開展密評（對照密碼應(yīng)用方案），若評估未通過，責任單位應(yīng)當期限整改并重新組織評估規(guī)劃階段建設(shè)階段運行階段配合系統(tǒng)責任單位設(shè)計密碼應(yīng)用解決方案、實施方案、應(yīng)急處置方案，配合密碼應(yīng)用安全性評估提供密碼產(chǎn)品、密碼集成、密碼運維服務(wù)，配合密碼應(yīng)用安全性評估提供密碼運維服務(wù)，配合密碼應(yīng)用安全性評估規(guī)劃階段建設(shè)階段運行階段制定系統(tǒng)測評方案與實施方案-測評備案-開展測評-形成測評報告針對密碼應(yīng)用技術(shù)（物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和主機安全、應(yīng)用和數(shù)據(jù)安全）、密鑰管理、安全管理開展測評。合規(guī)性評估：按照《商用密碼管理條例》等密碼法規(guī)和行業(yè)相關(guān)的密碼使用要求，是否使用符合國家密碼法規(guī)和標準規(guī)定的商用密碼算法，是否使用經(jīng)過國家密碼管理局審批的密碼產(chǎn)品或服務(wù)正確性評估：系統(tǒng)中采用的標準密碼算法、協(xié)議和密鑰管理機制是否按照相應(yīng)的密碼國家和行業(yè)標準進行正確的設(shè)計和實現(xiàn)。自定義密碼協(xié)議、密鑰管理機制的設(shè)計和實現(xiàn)是否正確，是否符合相關(guān)標準要求；

密碼保障系統(tǒng)建設(shè)或改造過程中密碼產(chǎn)品和服務(wù)的部署和應(yīng)用是否正確。有效性評估：密碼應(yīng)用安全是否立足系統(tǒng)安全、體系安全、動態(tài)安全、縱深防御、體系建設(shè)的思想，環(huán)境+設(shè)備+網(wǎng)絡(luò)+應(yīng)用測評標準及依據(jù)依據(jù)標準GB/T39786-2021《信息系統(tǒng)密碼應(yīng)用基本要求》《信息系統(tǒng)密碼測評要求》（試行）《信息系統(tǒng)密碼測評過程指南》《商用密碼應(yīng)用安全性評估管理辦法》（試行）《商用密碼應(yīng)用安全性評估作業(yè)指導(dǎo)書》《商用密碼應(yīng)用安全性評估測評工具使用需求說明》參照標準13個GB標準，53個GM《GB/T22239-2018信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》《GB/T20984-2007信息安全技術(shù)信息安全風險評估規(guī)范》關(guān)鍵點相關(guān)密碼產(chǎn)品需具有國密局相關(guān)資質(zhì)認證定制化的密碼組件原則上單獨取證（密碼模塊）密碼服務(wù)體系設(shè)計安全合規(guī)（密鑰安全）密評工作流程-被測單位新建系統(tǒng)規(guī)劃建設(shè)運行應(yīng)急制定密碼應(yīng)用方案網(wǎng)絡(luò)運營者密評機構(gòu)密碼管理部門建設(shè)實施定期評估（關(guān)基、等保三每年一次）事件、調(diào)整特殊情況通報評估密碼應(yīng)用方案密碼應(yīng)用安全性評估指導(dǎo)-監(jiān)督-檢查已建系統(tǒng)網(wǎng)絡(luò)運營者密評機構(gòu)密碼管理部門差距評估改造規(guī)劃改造實施運行階段應(yīng)急響應(yīng)組織評估制定密碼應(yīng)用方案改造實施定期評估事件、調(diào)整特殊情況通報密碼應(yīng)用安全性評估評估密碼應(yīng)用方案密碼應(yīng)用安全性評估指導(dǎo)-監(jiān)督-檢查密評工作流程-測評機構(gòu)密評工作流程-測評機構(gòu)目前閾值為60分量化評估風險分析評估結(jié)論且且或者100分≥閾值＜閾值無風險無高風險有高風險符合基本符合不符合03密碼應(yīng)用性合規(guī)方案設(shè)計密碼應(yīng)用性合規(guī)方案架構(gòu)及原理物理和環(huán)境安全建設(shè)方案網(wǎng)絡(luò)和通信安全建設(shè)方案應(yīng)用和數(shù)據(jù)安全建設(shè)方案設(shè)備和計算安全建設(shè)方案密碼管理安全建設(shè)方案方案合規(guī)性分析GB/T39786-2021信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求密碼應(yīng)用技術(shù)要求密碼應(yīng)用管理要求物理和環(huán)境安全網(wǎng)絡(luò)和通信安全設(shè)備和計算安全應(yīng)用和數(shù)據(jù)安全管理制度人員管理建設(shè)運行應(yīng)急處置密碼算法密碼技術(shù)密碼產(chǎn)品和服務(wù)通用要求密碼應(yīng)用建設(shè)需求密碼應(yīng)用建設(shè)方案密鑰管理體系國密門禁系統(tǒng)視頻安全產(chǎn)品IPSECVPN物理和環(huán)境網(wǎng)絡(luò)和通信SSLVPN設(shè)備和計算應(yīng)用和數(shù)據(jù)國密堡壘機國密日志審計服務(wù)器服務(wù)器密碼機PKI/CA系統(tǒng)密碼體系核心環(huán)節(jié)，可采用自建或租用的方式，可全面支撐證書及非對稱密鑰的全生命理密鑰管理系統(tǒng)需要進行接口適配及定制開發(fā)；全面支撐對稱密鑰全生命理單獨配套專用密碼機統(tǒng)一密碼服務(wù)平臺互為緩解措施網(wǎng)絡(luò)和通信可作為設(shè)備和計算的緩解措施應(yīng)用系統(tǒng)接口/業(yè)務(wù)邏輯整改國密瀏覽器/USBKey證書管理對稱密鑰管理密碼設(shè)備管理密碼資源調(diào)度密碼防護體系加解密原理-性加密對稱加密明文密鑰K1密文解密密鑰K1原始明文加解密使用相同密鑰非對稱加密加密明文密鑰K1密文解密密鑰K2原始明文加解密使用不同密鑰非對稱加密常用做密鑰保護對稱加密常用作數(shù)據(jù)加解密數(shù)字簽名技術(shù)-完整性及抗抵賴消息雜湊函數(shù)消息摘要簽名簽名結(jié)果私鑰A發(fā)送者消息標簽驗簽公鑰消息傳輸消息B接收者雜湊函數(shù)計算的摘要消息發(fā)送者A使用Hash算法生成原文的數(shù)字摘要；使用A自己的私鑰加密剛剛生成的數(shù)字摘要；將原文和加密之后的摘要發(fā)送給接收者B。消息接收者B接收到消息之后，使用A的公鑰對摘要解密；B使用同樣的Hash算法將所接收到的原文作為輸入，生成數(shù)字摘要；將第2步所生成的摘要與第1步解密得到的摘要進行比較。如果相同，表示原文沒有被篡改，如果不同，則被篡改了。消息發(fā)送消息接收數(shù)字簽名技術(shù)-真實性A的身份信息A的公鑰A的數(shù)字證書認證中心C原文消息發(fā)送者A摘要A的數(shù)字證書加密的摘要原文HashA的私鑰加密發(fā)送A的公鑰A的數(shù)字證書加密的摘要原文消息接收者B摘要Hash解密后的摘要A的公鑰解密B向C確認A的數(shù)字證書的真實性提取A的公鑰密碼建設(shè)-物理和環(huán)境安全更換符合GM/T0036-2014《采用非接觸卡的門禁系統(tǒng)密碼應(yīng)用指南》標準要求，并取得商用密碼產(chǎn)品型號證書的門禁系統(tǒng)，使用SM4算法進行密鑰分散，實現(xiàn)門禁卡的“一卡一密”，并基于SM4算法對人員身份進行鑒別鑒別。門禁管理服務(wù)器需支持對進出記錄的完整性保護，通過門禁系統(tǒng)廠家配合整改完成人員出入記錄的完整性保護。門禁管理服務(wù)器門禁發(fā)卡讀卡器門禁系統(tǒng)SM1門禁卡1TCP/IP門禁系統(tǒng)改造SM1門禁卡2基于生物識別技術(shù)（如指紋等）對進出入人員進行身份鑒別；重要區(qū)域出入口配備專人值守并進行登記，且采用視頻監(jiān)控系統(tǒng)進行實時監(jiān)控等?？蛇x措施密碼建設(shè)-網(wǎng)絡(luò)和通信安全客戶端國密瀏覽器SSL加密信道數(shù)據(jù)中心SSLVPN站到站的密碼建設(shè)在分支機構(gòu)網(wǎng)絡(luò)出口處和企業(yè)內(nèi)網(wǎng)網(wǎng)絡(luò)出口處成對部署IPSECVPN，進行站到站的網(wǎng)絡(luò)鏈路安全防護，完成傳輸鏈路的數(shù)據(jù)性和完整性以及身份真實性校驗?？蛻舳薝SBKey管理區(qū)分支機構(gòu)客戶端IPSECVPNIPSECVPN服務(wù)器服務(wù)器數(shù)據(jù)庫服務(wù)器WEB服務(wù)器IPSEC客戶端軟件PKI/CA數(shù)字證書IPSEC加密信道證書下發(fā)客戶端端到站的密碼建設(shè)在網(wǎng)絡(luò)邊界部署符合國密標準的SSL

VPN設(shè)備，通過VPN設(shè)備保障通信過程中數(shù)據(jù)的性和完整性。SSLVPN在客戶端測需使用國密瀏覽器，或者瀏覽器進行國密改造，安裝國密瀏覽器插件。密碼建設(shè)-網(wǎng)絡(luò)和通訊密碼建設(shè)要點在“應(yīng)用和數(shù)據(jù)安全”層面針對重要數(shù)據(jù)傳輸采用服務(wù)器密碼機進行重要數(shù)據(jù)加密傳輸，完成性保護；可選措施針對端到端的數(shù)據(jù)加密，如果無重要數(shù)據(jù)傳輸，可考慮不用密碼技術(shù)。若存在重要數(shù)據(jù)，建議應(yīng)用系統(tǒng)配合密碼機進行數(shù)據(jù)加密傳輸；使用SSLVPN時，如果未使用國密瀏覽器，可以選擇國際通用算法的瀏覽器，但密評可能會扣分;運營商專線時應(yīng)該采用IPSECVPN網(wǎng)關(guān)進行，根據(jù)密評機構(gòu)的測評標準進行。建設(shè)要點應(yīng)采用密碼技術(shù)對通信實體進行身份鑒別；宜采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；應(yīng)才用密碼技術(shù)保證通信過程中重要數(shù)據(jù)的性；標準要求宜采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問控制信息的完整性；可采用密碼技術(shù)保證接入設(shè)備的身份真實性；密碼產(chǎn)品須經(jīng)過商用密碼認證機構(gòu)認證合格。密碼建設(shè)-應(yīng)用和數(shù)據(jù)安全身份鑒別應(yīng)用系統(tǒng)安全中間件服務(wù)器密碼機簽名挑戰(zhàn)簽名挑戰(zhàn)客戶端登錄請求PKI/CA系統(tǒng)證書交換1332證書下發(fā)證書查詢證書下發(fā)證書查詢系統(tǒng)管理員(USBKey+證書)交換簽名挑戰(zhàn)值4根據(jù)結(jié)果判斷用戶身份6簽名驗簽、返回結(jié)果55簽名驗簽、返回結(jié)果密碼建設(shè)-應(yīng)用和數(shù)據(jù)安全數(shù)據(jù)存儲加密應(yīng)用系統(tǒng)安全中間件服務(wù)器密碼機密鑰查詢調(diào)用接口提交明文數(shù)據(jù)及密鑰返回密文數(shù)據(jù)存儲系統(tǒng)（數(shù)據(jù)庫/文件系統(tǒng)）數(shù)據(jù)寫入1234密鑰管理系統(tǒng)返回明文數(shù)據(jù)應(yīng)用系統(tǒng)數(shù)據(jù)傳輸加密應(yīng)用系統(tǒng)安全中間件服務(wù)器密碼機密鑰查詢調(diào)用接口提交明文數(shù)據(jù)及密鑰返回密文數(shù)據(jù)123應(yīng)用系統(tǒng)安全中間件服務(wù)器密碼機調(diào)用接口提交密文數(shù)據(jù)及密鑰67密文數(shù)據(jù)傳輸完整性校驗4密鑰管理系統(tǒng)密鑰查詢5終端到應(yīng)用系統(tǒng)數(shù)據(jù)傳輸加密應(yīng)用系統(tǒng)安全中間件服務(wù)器密碼機調(diào)用接口提交明文數(shù)據(jù)及密鑰返回密文數(shù)據(jù)23客戶端調(diào)用接口提交密文數(shù)據(jù)及密鑰返回明文數(shù)據(jù)56密文數(shù)據(jù)傳輸完整性校驗4身份鑒別后交換密鑰1系統(tǒng)管理員(USBKey+證書)密碼建設(shè)-應(yīng)用和數(shù)據(jù)安全訪問控制信息及資源安全標記完整性校驗應(yīng)用系統(tǒng)安全中間件服務(wù)器密碼機調(diào)用接口發(fā)送訪問控制信息（或安全標記）SM3計算摘要、返回摘要存儲系統(tǒng)（訪問控制信息/安全標記原始數(shù)據(jù)及摘要）數(shù)據(jù)寫入123數(shù)據(jù)讀取調(diào)用接口發(fā)送原始數(shù)據(jù)和摘要值SM3計算哈希，與原摘要進行比對,返回結(jié)果數(shù)據(jù)寫入過程數(shù)據(jù)讀取驗證過程123密碼建設(shè)-應(yīng)用和數(shù)據(jù)建設(shè)要點可選措施應(yīng)采用密碼技術(shù)對登錄設(shè)備的用戶進行身份鑒別；應(yīng)采用密碼技術(shù)的加解密功能對重要數(shù)據(jù)在傳輸過程中進行性保護；應(yīng)采用密碼技術(shù)的加解密功能對重要數(shù)據(jù)在存儲過程中進行性保護；宜采用密碼技術(shù)保證訪問控制信息和重要信息資源安全標記的完整性；基于特定設(shè)備（如手機短信驗證）或生物識別技術(shù)（如指紋）保證用戶身份的真實性；在“網(wǎng)絡(luò)和通信安全”層面使用SSL/IPSecVPN網(wǎng)關(guān)等建立集中管理通道。建設(shè)要點數(shù)據(jù)庫存儲加密基本只能通過業(yè)務(wù)系統(tǒng)改造，調(diào)用密碼機實現(xiàn)數(shù)據(jù)加密存儲，但容數(shù)據(jù)查詢；服務(wù)器密碼機能夠?qū)崿F(xiàn)端到端的安全保障，但需要業(yè)務(wù)應(yīng)用系統(tǒng)配合整改；用戶口令、身份證號等個人隱私信息必須進行加密存儲；標準要求宜采用密碼技術(shù)保證重要數(shù)據(jù)傳輸和存儲過程中的完整性；未采用消息鑒別碼（MAC）機制、數(shù)字簽名機制等密碼技術(shù)對重要數(shù)據(jù)在存儲過程中進行完整性保護；在可能涉及法律責任認定的應(yīng)用中，未采用基于公鑰密碼算法的數(shù)字簽名機制等密碼技術(shù)對數(shù)據(jù)原發(fā)行為和接收行為實現(xiàn)不可否認性；密碼建設(shè)-設(shè)備和計算安全身份鑒別運維客戶端數(shù)據(jù)中心遠程運維服務(wù)器服務(wù)器數(shù)據(jù)庫服務(wù)器WEB服務(wù)器堡壘機運維客戶端技術(shù)措施：關(guān)閉設(shè)備的本地登錄，遠程運維人員通過具有密碼功能的堡壘機，使用堡壘機的人員身份鑒別功能，實現(xiàn)設(shè)備的遠程安全管理及登錄用戶身份鑒別。身份鑒別緩解措施（扣分但無高風險）在“網(wǎng)絡(luò)與通信層”/“應(yīng)用與數(shù)據(jù)層”建立身份認證機制。重要可執(zhí)行程序完整性校驗和來源真實性主要針對某著名企業(yè)辦公場景，詳見特殊場景密碼建設(shè)方案中的某著名企業(yè)辦公密碼建設(shè)方案密碼建設(shè)-設(shè)備和計算安全措施二：通過具有國密算法功能的日志審計系統(tǒng)，收集系統(tǒng)中的設(shè)備日志，通過國密日志審計系統(tǒng)對收集到的日志進行SM3摘要計算，并將日志和摘要共同存儲，后續(xù)調(diào)用日志時，先通過SM3進行摘要計算，然后同原先存儲的摘要值進行比對，比對成功，實現(xiàn)日志完整性校驗。完整性校驗設(shè)備日志數(shù)據(jù)寫入措施一：設(shè)備廠家對設(shè)備進行升級改造，添加密碼模塊和設(shè)備數(shù)字證書，在日志生成時進行數(shù)字簽名。后續(xù)查看調(diào)用日志時進行簽名驗簽，完成設(shè)備日志的完整性校驗。國密日志審計系統(tǒng)1、日志SM3摘要計算2、日志+摘要存儲3、存儲日志SM3摘要計算4、與原摘要進行比對密碼建設(shè)-設(shè)備和計算密碼建設(shè)要點標準要求可選措施基于特定設(shè)備（如手機短信驗證）或生物識別技術(shù)（如指紋）保證用戶身份的真實性；在“網(wǎng)絡(luò)和通信安全”層面采用SSL/IPSECVPN保證重要數(shù)據(jù)在傳輸過程中的性；應(yīng)用系統(tǒng)通過服務(wù)器密碼機/簽名驗簽服務(wù)器進行身份鑒別，保證只有授權(quán)人員才能訪問應(yīng)用系統(tǒng)的重要數(shù)據(jù)，且定期對重要數(shù)據(jù)進行備份;遠程通道管理可通過具備密碼功能的堡壘機，進行遠程通道安全管理。應(yīng)采用密碼技術(shù)對登錄設(shè)備的用戶進行身份鑒別；遠程管理設(shè)備時，未采用密碼技術(shù)建立安全的信息傳輸通道；通過不可控網(wǎng)絡(luò)環(huán)境進行遠程管理，且鑒別數(shù)據(jù)以明文形式傳輸建設(shè)要點設(shè)備中的重要信息資源安全標記完整性，需要設(shè)備廠家進行升級改造，添加數(shù)字證書等；日志記錄完整性，需要對設(shè)備及操作系統(tǒng)進行改造，在原始日志生成時進行簽名，存儲日志服務(wù)器后進行簽名驗簽，保證完整性；未采用密碼技術(shù)保證設(shè)備中的重要信息資源安全標記的完整性;未采用密碼技術(shù)保證設(shè)備日志記錄的完整性;未采用密碼技術(shù)保證系統(tǒng)資源訪問控制信息的完整性；密碼建設(shè)-密碼管理建設(shè)改造要點重要性：密碼應(yīng)用體系建立的核心環(huán)節(jié)，身份認證、完整性校驗、抗抵賴等機制均需要數(shù)字證書進行支撐利舊問題：一個信任體系通常只保留一套CA系統(tǒng)，也可采用證書租用方式實現(xiàn)密鑰管理問題：證書系統(tǒng)可以全面支撐非對稱密鑰的管理過程根CA工作CA目錄服務(wù)（LDAP）時間戳（TSA）應(yīng)用接口系統(tǒng)注冊審核中心RA1注冊審核中心RAN證書持有者KMCOCSP證書認證體系密碼建設(shè)-密碼管理建設(shè)改造要點密鑰管理維度問題CA系統(tǒng)無法管理的密鑰類型均需要通過密鑰管理系統(tǒng)實現(xiàn)，一般常見情況是存在數(shù)據(jù)加密存儲需求時，與服務(wù)器密碼機配套使用。密管系統(tǒng)建設(shè)問題需要了解具體業(yè)務(wù)邏輯進行定制和接口適配，簡單場景可由業(yè)務(wù)應(yīng)用根據(jù)密鑰管理體系自實現(xiàn)。配套密碼機問題密鑰管理系統(tǒng)配套的密碼機為專用密碼機，不可以同業(yè)務(wù)系統(tǒng)共用。密碼機生成密鑰管理系統(tǒng)存儲分發(fā)導(dǎo)入導(dǎo)出使用備份恢復(fù)歸檔銷毀應(yīng)用系統(tǒng)返回密鑰密文調(diào)用接口申請生成密鑰密鑰查詢管理員系統(tǒng)管理密鑰管理體系密碼建設(shè)-整體部署方案服務(wù)器密碼機/簽名驗簽服務(wù)器密碼服務(wù)平臺/密鑰管理系統(tǒng)數(shù)字證書系統(tǒng)SSL/IPSecVPN網(wǎng)關(guān)國密瀏覽器USBKey門禁系統(tǒng)時間戳系統(tǒng)/電子簽章系統(tǒng)國密堡壘機日志審計服務(wù)器根據(jù)業(yè)務(wù)需求配置WEB服務(wù)器數(shù)據(jù)庫服務(wù)器視頻服務(wù)器管理服務(wù)器數(shù)據(jù)中心數(shù)據(jù)中心交換機數(shù)據(jù)中心交換機服務(wù)器節(jié)點區(qū)II服務(wù)器節(jié)點區(qū)I業(yè)務(wù)區(qū)系統(tǒng)管理員系統(tǒng)管理員管理區(qū)密碼服務(wù)區(qū)服務(wù)器密碼機SSLVPN數(shù)字證書系統(tǒng)USBKey國密瀏覽器交換機電子簽章系統(tǒng)時間戳服務(wù)器密碼服務(wù)平臺/密鑰管理系統(tǒng)客戶端系統(tǒng)管理員交換機分支機構(gòu)數(shù)字證書IPSECVPNIPSECVPN堡壘機數(shù)字證書數(shù)字證書數(shù)字證書數(shù)字證書密碼建設(shè)-密碼應(yīng)用工作流程1、建立安全通信鏈路：系統(tǒng)管理員調(diào)用USBKey，使用國密瀏覽器與SSLVPN建立安全通信鏈路；2、身份鑒別：系統(tǒng)管理員利用用戶名/口令和USBKey的方式，通過PKI/CA，登錄服務(wù)器短的后臺管理系統(tǒng)；3、密鑰協(xié)商和傳輸數(shù)據(jù)保護：第一部中安全鏈路只保護了國密瀏覽器與SSLVPN網(wǎng)關(guān)之間的交互數(shù)據(jù)?？紤]應(yīng)用系統(tǒng)中存在個分系統(tǒng)，為了實現(xiàn)各系統(tǒng)間數(shù)據(jù)隔離，系統(tǒng)管理員和各個分系統(tǒng)之間的敏感數(shù)據(jù)也需要單獨安全保護，防護方式主要通過分系統(tǒng)與對應(yīng)的系統(tǒng)管理員通過各自的密鑰對利用SM2密鑰協(xié)商算法協(xié)商臨時的性和完整性保護密鑰，完成系統(tǒng)管理員訪問應(yīng)用時敏感數(shù)據(jù)的安全傳輸；4、關(guān)鍵操作的不可否認性：對于系統(tǒng)管理員的關(guān)鍵操作，需要系統(tǒng)管理員使用USBKey進行數(shù)字簽名，并由系統(tǒng)調(diào)用服務(wù)器密碼機進行驗簽，以驗證該操作確實由系統(tǒng)管理員完成，確保關(guān)鍵操作的不可否認性；5、數(shù)據(jù)安全存儲：服務(wù)器收到系統(tǒng)管理員編輯確認的關(guān)鍵數(shù)據(jù)后，調(diào)用服務(wù)器密碼機，利用自己的加密密鑰和HMAC密鑰對重要數(shù)據(jù)進行性和完整性保護，之后服務(wù)器將其存儲到數(shù)據(jù)庫服務(wù)器中。系統(tǒng)管理員數(shù)字證書服務(wù)器密碼機SSLVPNWEB服務(wù)器數(shù)據(jù)庫服務(wù)器視頻服務(wù)器管理服務(wù)器數(shù)字證書1建立安全通信鏈路業(yè)務(wù)區(qū)密碼服務(wù)區(qū)2身份鑒別3密鑰協(xié)商和傳輸數(shù)據(jù)保護4關(guān)鍵行為的不可否認5數(shù)據(jù)安全存儲簽名驗簽服務(wù)器時間戳服務(wù)器PKI/CA密鑰管理系統(tǒng)堡壘機密碼建設(shè)方案客戶價值建設(shè)方案五大價值政策角度快速對標，能夠快速符合國家相關(guān)政策要求系統(tǒng)角度自身系統(tǒng)經(jīng)過加固與優(yōu)化，具有較強的抗攻擊能力保障了業(yè)務(wù)持續(xù)性，用戶的真實性和不可抵賴性，實現(xiàn)了數(shù)據(jù)性、完整性和可用性使用者角度集中化的安全服務(wù)簡化用戶使用流程構(gòu)建可信網(wǎng)絡(luò)空間，增強行為使用的可信性，提升了整體應(yīng)用的安全性用戶角度快速滿足企業(yè)安全需求提高企業(yè)安全防護能力管理員角度提高運維管理效率降低運維管理成本04密碼產(chǎn)品簡介密碼類產(chǎn)品全景密碼機（服務(wù)器密碼機/金融數(shù)據(jù)密碼機/簽名驗簽服務(wù)器）提供密碼運算及密鑰保護能力分別適用于全行業(yè)/銀行及非銀交/數(shù)字證書體系及身份認證系統(tǒng)提供密碼運算能力及基本密鑰保護能力是密碼機的低成本形態(tài)，適用于項目預(yù)算不足情況密碼卡提供通信鏈路雙向的數(shù)據(jù)加密和身份認證保證通信鏈路的安全性適用于各類遠程接入場景VPN網(wǎng)關(guān)為用戶業(yè)務(wù)系統(tǒng)提供各種密鑰的生成、存儲、導(dǎo)出、恢復(fù)、更新、銷毀等全理適用于各種密碼應(yīng)用類業(yè)務(wù)系統(tǒng)密鑰管理系統(tǒng)整合各種類型的密碼計算資源提供統(tǒng)一密碼計算能力，對各種密碼服務(wù)提供統(tǒng)一管理適用于大型網(wǎng)絡(luò)中多安全類應(yīng)用并存的場景統(tǒng)一密碼服務(wù)平臺為用戶提供數(shù)字證書申請、審核、簽發(fā)、發(fā)布、注銷、更新、下載等全生命理適用于全行業(yè)PKI/CA系統(tǒng)針對用戶定制不同類型的密碼模組和板卡，解決用戶設(shè)備不具備密碼計算能力的問題適用于各類設(shè)備本身不具備密碼運算能力但是需要擴展密碼計算能力的場景定制化密碼模組為用戶的電子數(shù)據(jù)簽發(fā)權(quán)威可信時間戳適用于各種密碼應(yīng)用類業(yè)務(wù)系統(tǒng)時間戳服務(wù)器建立可信根對操作系統(tǒng)進行層層度量，幫助操作系統(tǒng)實現(xiàn)對惡意代碼的自我免疫適用于各類型核心業(yè)務(wù)應(yīng)用系統(tǒng)及終端操作系統(tǒng)免疫平臺實現(xiàn)物聯(lián)網(wǎng)系統(tǒng)網(wǎng)絡(luò)邊界安全防護，具有網(wǎng)絡(luò)隔離、數(shù)據(jù)加密、身份認證等功能適用于電力、工業(yè)、水利等各種不同類型的物聯(lián)網(wǎng)應(yīng)用場景物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)具有數(shù)據(jù)加密、身份認證、協(xié)議識別及過濾等功能適用于各類物聯(lián)網(wǎng)終端安全接入的應(yīng)用場景桌面型加密認證裝置支持身份認證、數(shù)據(jù)加解密、網(wǎng)絡(luò)隔離等功能，基于可信操作系統(tǒng)的數(shù)據(jù)采集、分析適用于各類型物聯(lián)網(wǎng)邊緣計算場景物聯(lián)網(wǎng)邊緣計算安全裝置密碼機密碼卡數(shù)字證書系統(tǒng)&USBKEYVPN網(wǎng)關(guān)密鑰管理系統(tǒng)統(tǒng)一密碼服務(wù)平臺定制化密碼模組時間戳服務(wù)器物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)操作系統(tǒng)免疫平臺桌面型加密認證裝置物聯(lián)網(wǎng)邊緣計算安全裝置具有國產(chǎn)化信創(chuàng)版本提供密碼運算