商用密码应用建设解决方案.docx

）网络空间威胁对抗与防御技术研讨会«暨第九届安天网络安全冬训营密评概述密评定义、密评标准、密评工作流程CONTENTSO密码应用合规方案设计方案架构、技术原理、合规方案设计特殊场景密码建设方案物联网场景、工业控制场景、移动办公场景、视膝监控场景密码相关产品简介常见密码产品、加固服务简介商用密码应用现状密评定义密码法第二十七条规定法律、行政法规和国家有关规定要求使用商用密码进行保护的关钠值息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估（以下简称“密评”）。定义，密评是指对采用商用密码技术、产ISI和朦务集成建设的网络与信息系统密码应用的合规性、正确性、有效性进彳方平估。创觥h密码算法、密码技术、密码产品'密码模块和密码服务使用合规；正确性：密码算法'密码协议、密钥管理,密码产品和服务使用正确；密码协议、密钥管理系统'密码应用子系统和密码安全防护机制不仅设计合理，在系统运行过程中能够发挥定吗作用.中华人民共和国密西法中华人民共和国主席令第三十五。开展密评，是为了解决商用密码应用中存在的突出问题，为网络和信息系统的安全提供科学评价方法，逐步规范商用密码的使用和管理。从根本上改变商用密码应用不广泛、不规范、不安全的现状，确保商用密码在网络和信息系统中有效使用，切实构建起坚实可靠的网络安全密码屏障。密评对象电信网'广播电视网'互联网能源,教育、公安、测绘地理信息、社保、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统要工业控制系观核设施、航空航天'先进制造、石油石化'油气管网、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统面向社会厦务的政务信息系统党政机关和使用财政性资金的事业单位和团体名且织使用的面向社会服务的信息系统rANTI密评相关角色及工作简介责任单位依据商用密码技术标准，制定商用密码应用建设方案,蛆织专家或委托具有相关资质的测评机构进行方案评估建谦收、应急预案建设阶段运制段JKlMttMfi,责任单位或委托，评机构开«评（MJi宙科以用方热责任单位应当委托测评机构定期开展密评（对照密码应用方案）.若评估未通过，责任单位应当期限整改并更新组织评估配合系姣费任单位设计密码应用超决方案、实施方案、应急处置方窠，配合定目应用安全性评估密码服务提供商11供由码产品、W.WStt三*.配合图码应用安全性评估nsft运行阶段提供密码JMJ务，配合耐盒用安全性联MtJKM评方案与实绘方案-WM集THMgBWM刑K.时费播应用鲤尊理和环境安全、网络和通信安全、设备和主机安全'应用和数据安全人一物管理、安全管理开，三W.加班评估I按照W商用密码首理条份女等密日法规和f亍业相关的密码使用要求，是否使用符合国家密码法蝌标准规定的是否使用经过国家密码管理局市批的密码产Sl或服务密码技术某本测i平能哪柝用枫运制段正ft刑,系统中采用的标准密码算法、协议和密钥管理机制是否按照相应的密码国家和行业标准进行正确而设计和实现.自定义密妗协议、密钥管理机*1的设计和实现是否正确，是否符合相关标准要求；系统建设或改造过程中定码产品种艮务的部署和应用是查正确，I密码底用安全是否立足系统安全,体系安全、动态委全、纵深防御、体系建设的思Jg,环，网络应甬3.总体要求31.密码算法3.2.密码技术3.3.密码产品3.4.密码服务44.密码应用测评要求1. 1.物理和环境安全4. 2.网络和通信安全5. 3.设备和计算安全6. 4.应用和数据安全7. 密钥管理8. 安全管理8.1. 制度6.2.人员6.3.实施（规划）6.4.实施（建设）6.5.实施（运行）6.6.应急测评标准及依据依据标准GBT39786-2021信息系统密码应用基本要求信息系统密码测评要求（试行）信息系统密码测评过程指南商用密码应用安全性评估管理办法（试行）商用密码应用安全性评估作业指导书商用密码应用安全性评估测评工具使用需求说明,参照标准13个GB标准，53个GMGB/T22239-2018信息安全技术信息系统安全等级保护基本要求GB/T20984-2007信息安全技术信息安全风险评估规范关键点相关密码产品需具有国密局相关资质认证定制化的密码组件原则上单独取证（密码模块）密码服务体系设计安全合规（密钥安全）密码管理部门规划制定密码应用方案评估密码应用方案建设运行建设实施定期评估（关基'等保三每年一次）密码应用安全性评估指导-监督-检查事件,调整特殊情况通报已建系统各者网运评构密机差距评估改造规划改造实施运行阶段应急响应组织评估制定密码应用方案改造实施定期评估事件、调整中锹情况通报密码应用安全性评估评估密码应用方案密码应用安全性评估管门指导-监督-检杳Pagen现场测评组测评对象与指标确定测评工具接入点确定测评内容确定现场测评准备现场测评和结果记录问题整改与回归测评单项测评结果判定单元测评结果判定整体测评与风险分析密码应用安全性测评报告测评工具和表单准备结果确认与资料归还测评结论与报告编制量化评估风险分析评估结论无¾风险有高风险ANTlY基本符合1不符合密码应用合规方案架构IpsegsslvpnUSBKcyWtt务僦”,密码技术K他宿。KMA敏福中心务WEB证书下衣IPSirW/WtfrE阵国密浏览浙匚IUSBKey密码建设-网络和通信安全 站到站的密码建设在分支机构网络出口处和企业内网网络出口处成对部署IPSECVPN,进行站到站的网络链路安全防护，完成传输链路的数据机密性和完整性以及身份真实性校验。 端到站的密码建设在网络边界部署符合国密标准的SS1.VP设备，通过VPN设备保障通信过程中数据的机密性和完整性。SS1.VP在客户端测需使用国密浏览器，或者浏览器进行国密改造，安装国密浏览器插件。 可选措施在“应用和数据安全”层面针对重要数据传输采用服务器密码机进行重要数据加密传输，完成机密性保护；密码建设-设备和计算安全 身份鉴别事中心关闭设备的本地登录，远程运维人员通过具有密码功能的堡垒机，使用堡垒机的人员身份鉴别功能，实现设备的远程安全管理及登录用户身份鉴别。 完整性校验设备厂家对设备进行升级改造，添加密码模块和设备数字证书，在日志生成时进行数字签名。后续查看调用日志时进行签名验签，完成设备日志的完整性校验。 缓解措施在“网络与通信层”/“应用与数据层”建立身份认证机制。在“网络和通信安全”层面采用SS1./IPSECVP保证重要数据在传输过程中的机密性；胃目国目自UMSMIBMIKMXMI三M应用系统通过服务器密码机/签名验签服务器进行身份鉴别，保证只有授权人员才能访问应用系统的重要数据,且定期对重要数据进行备份；应用系统安全中间件数据写入9三建员证书查询、_,一证小发IlQl证书查询l-1 身份鉴别数据中心部署服务器密码机，通过应用系统配合整改，在系统管理员登录时，安全中间件调用服务器密码机生成签名挑战，与管理员交换挑战值后签名验签，完成身份鉴别。 数据传输加密安全中间件调用密码机接口，提交原始数据及密钥，通过服务器密码机加密后传输至管理员客户端，客户端通过调用USBKCy进行解密，完成数据传输加密。 数据存储加密应用系统通过密钥管理系统进行加密密钥查询，安全中间件调用密码机接口，提交原始数据及密钥，通过服务器密码机加密后写入到存储系统，完成数据存储加密。;密钥查询一1._加解密一乙签名脸签国证书下发PK1.CA可选措施基于特定设备（如手机短信验证）或生物识别技术（如指纹）保证用户身份的真实性；在“网络和通信安全”层面使用SS1./IPSecVPN网关等建立集中管理通道。密钥管理体系宙码机调用接口申请生成密钥密钥管理系统±存储分发导人导出使用备份”归档销毁应用系线改造要点密钥管理维度问题CA系统无法管理的密钥类型均需要通过密钥管理系统实现，一般常见情况是存在数据加密存储需求时，与服务器密码机配套使用。密管系统厘设问题需要了解具体业务逻辑进行定制和接口适配，简单场景可由业务应用根据密钥管理体系自实现。配套宙码机问题密钥管理系统配套的密码机为专用密码机，不可以同业务系统共用。密码建设方案工业场景-密码建设方案工业控制系统特点可用性实时性连续性稳定性密码应用需求网络层传输重要指令加密；操作人员及运维人员的身份鉴别。SCADA/±位机/P1.C密码芯片/板卡/SDK/密码设备工业场景-工业控制系统与密码的技术融合机制技术融合机制密码组件的形态选择安全可靠的>工业协议的适配和改造舞器言>密码应用机制的选择制>系统可用性要求、密码性能与成本之间的平衡工业场景-工业控制系统与密码的技术融合机制.(P1.a,DCS)安全与业务高度融合，使网络安全机制成为业务系统内生安全基因，不受攻防水平差距影响，不依赖网络结构，不存在传统意义上的边界概念企业侨淞USBKeyK生产管理层过程监控层现场控制层USBKey证书证书密钥管理系统集团中心加密隧道USBKey|服务器密码机I国密堡垒机三HIR用KM控制设备控制设备控制设省控制设备一W«»s三msdknIPSECVPN工业场景-密码应用部署rANTI於««M110第匚BOB一，4-±三三B1.BPWbMVFTPBJHiMBS9MHI-场站-U沪星CIps1.VPN1.集团中心ttnuS脏FrSCAbA服务谣二S电SJB口器匚睢HMlHMl工UttfMUt5s-r4施TOltt修员站XftSMBCSplc密码接块ta三*J七dk，芯片plcSttrdcs三tdcsIIIS黑貌'WHkMSISSSMSM技术防护思路针对移动办公系统网络层、设备层和应用层安的全防护通过身份认证、数据加密、完整性校验技术实现。主要通过移动端SDK、安全认证网关、证书认证系统和统一密码服务平台等密码产品来实现。移动终端侧密码模块一般以SDK形式嵌入在移动端APP中。身份认证：基于PKIC体系数据加密：VPN技术/应用层加密完整性校验：APP数字签名技术密钥保护：门限密码/协同签名/密钥白盒移动办公场景-安全防护思路平台层证书认证系统协同签名系统统一密码服务平台终端管理系统移动策略管理库安全认证网关3G4G5GViFi网络终端层口移动终端移动终端移动终端移动终端移动湍SDK（包含.雄带码模块）mat移动办公场景-网络和通信身份鉴别、数据传输机密性、完整性校验PKI/CASE书下发权限管理皿S1.安如密道移动iDK隧道认证传输加密传输加密证书认证本地加密访问控制缓存清理网络层安全防护>PKIC系统对安全认证网关和移动终端发送数字证书；通过移动端安全软件（安全SDK）与安全认证网关建立SS1.安全加密信道;通过安全加密信道完成用户身份认证和传输数据加解密及访问控制等功能。通过提供一整套包含安全功能在内的完整的视频监控系统的方式，实现视频监控系统安全合规。方案全面符合GB"35114等相关标准要求。在已建成的视频监控系统的基础上，通过额外部署相关密码产品，重点保障摄像头与视频监控业务系统之间的身份认证及视频通信传输加密，满足部分GB/T35114标准要求，其他部分还需视频监控系统应用自身进行改造。视频监控场景-视频改造方案概述新建视频监控系统解决方案已有视频监控系统改造方案她都波 前端监控区集成密码模块的安全网络枪型/半球/筒型/球型摄像机 监控中心区信令服务器、流媒体服务器、安全视频监控平台密码机（集群）密钥管理系统数字证书认证系统存储服务器 显示终端区电视墙+解码器（含USBKey）视频监控客户端（含USBKey）视频监控安全解决方案从产品架构上可分为三部分,分别是葡安全设务、视频安全务系统、视项安全密码务支撑平台.前端安全设备为安全转换器视频安全密码服务支撵平台包括安全信令服务器'安全流媒体服务器,视频证书服务系统,视频密码机'视频密明管理系统。系统以国产商用密码算法为基础，利用公钥基批设施以及安全芯片、智能密码钥匙'密码机'密钥管理系统等密码运算'管理设备，可以实现视频监控联网系统内各类设备、平台'用户的统一身份认证信令完整性验证等安全防护功能。网络空间威胁对抗与防御技术研讨会r-才-Sl密码相关产品简介04常见密码产品、服务简介重点密码类产品介绍功能特点统一密码服务平台网关层服务层-器码微服务高度集成化的一站式服务平台，基于统一的服务接口为信息系统提供密码服务整合全部密码资源，密码资源池形成密码资源池降低建设成本对密码资源进行统一监管，便于统一维护重点密码类产品介绍定制化的密码板卡/模组网络加密模块，TGA及高速并行密码运算。低功耗密钥服务板家庭互联网安全网关带国密算法传感器节点，SM1-2-3和ZUC接入，图为气体传感器国密算法支持，SPkUART等不同嵌入式接口支持，应用于智/能传感器Page43