商用密码应用安全性评估白皮书-69页_1mb

商用密码应用安全性评估白皮书（2021）总结

核心内容

本白皮书由中国软件评测中心与相关机构联合发布，旨在加强商用密码管理，保障信息安全，推动商用密码在各行业的应用与标准化发展。白皮书全面阐述了商用密码的重要性、发展现状、研究热点、标准化进展、典型应用场景、存在的问题及其原因、安全性评估内容与管理建议，并对商用密码未来发展趋势进行了展望。

主要观点

• 商用密码是保障网络安全的重要技术手段，能够实现信息的机密性、完整性、真实性、不可否认性等安全需求。
• 商用密码已在多个重要行业如电信和互联网、工业互联网、车联网、物联网、智慧交通、电子政务和金融等领域得到广泛应用。
• 商用密码标准体系逐步完善，涵盖国家标准、行业标准、团体标准和企业标准，支持密码产品的研发、应用和管理。
• 商用密码应用中存在领域不够广泛、应用方式不够规范、服务不够安全、需求难以契合等问题。
• 商用密码应用安全性评估（密评）是保障密码应用合规性、正确性和有效性的重要举措。

关键信息

商用密码概念

商用密码用于对不涉及国家秘密的信息进行加密保护或安全认证，由公民、法人及其他组织依法使用。其应用范围包括企业敏感信息传输与存储、安全认证、数字签名等。

商用密码发展现状

• 自党的十八大以来，商用密码发展迅速，特别是在5G通信、云计算、大数据、物联网等新兴技术领域。
• 截至2021年5月，我国已有2447款密码产品获得认证，形成较完整的商用密码产品体系。
• 2020年，商用密码产业规模突破466亿元，同比增长超33%。

商用密码研究热点

• 硬件加密：通过专用芯片实现加密，具有更高的安全性。
• 软件加密：基于安全模块和算法，实现信息的加密与解密。
• 白盒密码：用于抵抗白盒攻击，保护密钥安全。
• 量子密码：基于量子力学原理，提供更高的安全性，成为未来研究重点。

商用密码标准化进展

• 国家标准：截至2021年，共有35项现行国家标准，即将实施1项，覆盖算法、产品、检测和应用等方面。
• 行业标准：共有116项现行行业标准，涵盖密码算法、产品、技术、检测和管理等多个方面。
• 团体标准：部分团体标准如《区块链密码检测规范》和《移动智能终端密码技术政企应用指南》已发布，为行业提供指导。

典型应用场景

1. 电信和互联网领域：

   • 应用于云存储、身份认证、访问控制、数据加密等。
   • 中国电信提出的“商密云”系统，结合云+端架构，提升数据安全性。

2. 工业互联网领域：

   • 用于平台基础设施、身份鉴别、访问控制、数据全生命周期保护。
   • 工业互联网体系架构（2.0）及密码应用模式白皮书为行业发展提供指导。

3. 车联网领域：

   • 支撑车与云、车与车、车与路、车与设备、车与网络的安全通信。
   • 通过密钥管理、证书管理、安全协议等实现安全通信和身份认证。

4. 物联网领域：

   • 用于设备与设备、设备与用户、设备与平台的身份认证和数据传输安全。
   • 采用SM2、SM3、SM4等算法，结合安全中间件和密钥基础设施实现全面防护。

5. 智慧交通领域：

   • 应用于ETC系统、城市交通一卡通、电子证照等。
   • 支持密钥管理、交易通信和证书认证，保障系统安全与数据完整性。

6. 电子政务领域：

   • 用于政务外网、身份认证、数据传输安全、邮件加密等。
   • 政务CA已覆盖全国，支持SM2等算法，提升政务系统安全性。

存在的问题

• 商用密码应用领域不够广泛。
• 应用方式不够规范。
• 应用服务不够安全。
• 需求难以契合实际应用场景。

原因分析

• 密码管理体制尚需健全。
• 标准体系仍待完善。
• 产业支撑力量不足。
• 技术缺乏自主可控。

商用密码应用安全性评估

• 密评是保障密码应用合规性和有效性的必要手段。
• 密评内容包括要点、通用测评、单元测评、整体测评和风险分析与评价。
• 密评流程包括评估准备、评估实施、评估报告、评估结果应用等阶段。

管理建议

• 建立健全商用密码管理机制。
• 持续完善密码标准支撑体系。
• 优化商用密码产业生态环境。
• 提升密码技术自主创新能力。
• 培养密码行业专业人才。

发展展望

• 商用密码将得到更广泛的应用。
• 密码产业将实现强势发展。
• 标准体系将日益完善。
• 科研创新能力将显著提升。
• 密评工作将得到有力推进，推动密码安全事业高质量发展。