商用密码应用安全性评估测评系列材料【补充 】

admin 2021年9月23日23:27:47评论122 views字数 24158阅读80分31秒阅读模式

《商用密码应用安全性评估管理办法》


商用密码应用安全性评估测评系列材料【补充 】


《商用密码应用安全性测评机构管理办法》



《信息系统密码应用基本要求》


商用密码应用安全性评估测评系列材料【补充 】


《信息系统密码应用测评要求》


https://www.oscca.gov.cn/sca/xwdt/2020-12/08/1060792/files/d2f1665e78bb4c658ca06bfaaa16eae1.pdf


商用密码应用安全性评估测评系列材料【补充 】


《商用密码应用安全性评估测评作业指导书(试行)》


商用密码应用安全性评估测评系列材料【补充 】


《信息系统密码应用测评过程指南》


https://www.oscca.gov.cn/sca/xwdt/2020-12/08/1060792/files/f84f69611d764ab8be17ea1be3332b5b.pdf


商用密码应用安全性评估测评系列材料【补充 】


《信息系统密码应用高风险判定指引》


https://www.oscca.gov.cn/sca/xwdt/2020-12/08/1060792/files/c45eb79325bd44e2a768c90527261d30.pdf


商用密码应用安全性评估测评系列材料【补充 】


《商用密码应用安全性评估量化评估规则》


https://www.oscca.gov.cn/sca/xwdt/2020-12/08/1060792/files/b3efec60b86b47788c2eee258fd904eb.pdf


商用密码应用安全性评估测评系列材料【补充 】


《商用密码应用安全性评估报告模板(2020版)》


https://www.oscca.gov.cn/sca/xwdt/2020-12/08/1060792/files/7ff1dcf8091c4f1d88b9353874ab4911.docx


商用密码应用安全性评估测评系列材料【补充 】



《商用密码应用安全性评估对象基本情况调研表》


商用密码应用安全性评估测评系列材料【补充 】


文件下载地址:


https://www.oscca.gov.cn/sca/xwdt/2020-12/08/content_1060792.shtml


《信息系统密码应用测评要求》等5项 密码应用与安全性评估指导性文件发布

发布日期:2020-12-08来源:国家密码管理局

【字体:  打印

     


依据《中华人民共和国密码法》等法律法规,中国密码学会密评联委会组织编制了《信息系统密码应用测评要求》等5项指导性文件,现已公开发布,可供相关单位开展商用密码应用与安全性评估工作参考

有关问题建议,可发送邮件至[email protected]

附件:1.信息系统密码应用测评要求

   2.信息系统密码应用测评过程指南

   3.信息系统密码应用高风险判定指引

   4.商用密码应用安全性评估量化评估规则

   5.商用密码应用安全性评估报告模板(2020版)


《商用密码应用方案》


http://www.tjgmj.gov.cn/aRCtrl/toCryAppScheme.do



《政务信息系统密码应用与安全性评估工作指南》


https://www.oscca.gov.cn/sca/xwdt/2020-09/16/1060781/files/e96db2ce62e24aa4866bad73ee4f21ce.pdf


商用密码应用安全性评估测评系列材料【补充 】


https://www.oscca.gov.cn/sca/xwdt/2020-09/16/content_1060781.shtml


《政务信息系统密码应用与安全性评估工作指南》
公开发布 

发布日期:2020-09-16来源:国家密码管理局

【字体:  打印

     

根据《国家政务信息化项目建设管理办法》(国办发〔2019〕57号)密码应用与安全性评估要求,依据《中华人民共和国密码法》及商用密码管理规定,中国密码学会密评联委会组织编制的《政务信息系统密码应用与安全性评估工作指南》(2020版)已于日前发布,用于引导非涉密国家政务信息系统建设单位和使用单位规范开展商用密码应用与安全性评估工作。

附件:《政务信息系统密码应用与安全性评估工作指南》(2020版)


政务网站系统国产密码应用方案


1. 概述


根据有关资料,截止2018年6月1日,我国正在运行的政府网站有22206家。截止2019年3月18日,天津市在线运行政府网站共113个。

根据CNCERT/CC 2018年年报,2018年,CNCERT/CC自主监测发现约5.3万个针对我国境内网站的仿冒页面,页面数量较2017年增长了7.2%。其中,仿冒政务类网站数量明显上升,占比高达25.2%。2018年,被篡改的政府网站216个(2017年为618个)。由此可见,政务类网站的安全性不容忽视。

政务类网站建设可参照GB/T 31506-2015 《信息安全技术政府门户网站系统安全技术指南》,其安全基础设施包括可信路径、公钥基础设施等。

政府门户网站系统逻辑结构示意图

商用密码应用安全性评估测评系列材料【补充 】

2. 政务网站密码安全需求


对存储的网页进行完整性保护,避免非法篡改

对访问系统的管理员身份进行鉴别,以确保管理员身份的真实性,避免非法管理员进入系统;

对系统重要日志进行完整性保护,避免非法人员篡改日志记录。


3. 政务网站密码应用方案


3.1 总体架构

商用密码应用安全性评估测评系列材料【补充 】

3.2 部署示例

商用密码应用安全性评估测评系列材料【补充 】

3.3 密码应用技术方案


物理和环境安全

依托于现有的机房环境和办公环境的安全措施,利用电子门禁系统对人员身份进行确认,防止非法人员进入;利用视频监控系统对人员行为进行记录。

选用符合GM/T 0036标准的电子门禁系统,并对人员进出记录等数据进行完整生保护。

在视频监控系统中部署视频采集加密系统,对视频监控音像记录等数据进行保护。


网络和通信安全

网络与通信的安全防护实施要点是保证信意内容的完整性。

安全接入网关(SSL VPN产品)对网络通信进行保护,实现对网站自身身份的认证,防止网站系统的内容在传输过程中网站内容被篡改。


设备和计算安全

部署终端安全防护系统,结合管理员USBKey+数字证书方式,对登录计算机终端操作系统的用户身份进行鉴别,对用户登录的日志信息进行完整生保护,并对终端操作系统进行防护。


应用与数据安全

管理员身份鉴别、可信内容发布

用户访问


密钥管理方案

采用某电子政务电子认证服务机构提供的电子认证服务。

密钥均由商用密码产品负责全生命周期管理。

网站管理员在安全接入网关投入使用前,按照密码操作规程在用户环境中对设备进行初始化,完成密钥生成。

在密码产品运维管理过程中,按照密码操作规程对密钥进行备份(恢复)、归档、销毁等管理操作。

密码管理人员应按照密码操作规程对密钥存储介质进行安全管理。


安全管理方案

密码安全管理制度和操作规范

执行记录

应急处置方案


4. 密码设备和系统的选择


应选择具有国家密码管理局颁发的商用密码产品型号证书的USBKey、SSL VPN安全网关、安全浏览器等。


5. 密码算法配置与使用


使用的密码产品需配置使用国产密码算法SM2/SM3/SM4。


政务云系统国产密码应用方案


1. 概述


政务云用于承载各级政务部门公共服务、社会管理业务信息和数据,并满足跨部门业务协同、数据交换与共享的需要,提供IaaS、 PaaS和SaaS云计算服务。

政务云建设涉及云建设单位、密码建设单位、政务云运营单位、政务云使用单位、云服务提供商、政务云监管以及云上的角色(党政机关用户及其业务使用者等)。

政务云平台以建设和提供方的需求与服务能力,分为以提供基础设施即服务(IaaS)的政务云平台、提供平台即服务(PaaS)的政务云平台以及提供软件即服务(SaaS)的政务云平台。

本方案以选择提供PaaS能力的政务云平台建设和提供方为示例

政务云平台建设框架


商用密码应用安全性评估测评系列材料【补充 】

2. 密码安全需求


设备和计算安全

不同虚拟机之间、虚拟机与宿主机之间应进行安全隔离。

虚拟机的镜像和快照应进行安全保护,保证数据的完整性。


数据与应用安全

数据资源及所在的网络、系统平台等需要具备详细的访问控制和审计措施来防止数据泄露。

对文件系统、存储和数据库等采用加密措施,保证数据的机密性。

网络、系统平台自身需要具备足够的控制和监视手段来防止信息被篡改。


管理安全

基础设施、密码设施的管理和使用,采用基于密码技术的多因素身份鉴别机制。

采用安全的网络通信协议,保证数据的保密性和完整性。


制度和人员安全

云平台需具有相关的制度保证操作的规范性,避免因非法操作或误操作导致的密钥删除、密钥泄露等重大安全问题产生。


3. 密码应用简要方案


物理和环境安全

依托于现有的机房环境的安全措施,利用电子门禁系统对人员身份进行确认,防止非法人员进入;利用视频监控系统对人员行为进行记录。

选用符合GM/T 0036标准的电子门禁系统,并对人员进出记录等数据进行完整性保护。

在视频监控系统中部署视频采集加密系统,对视频监控音像记录等数据进行保护。


网络和通信安全

远程管理采用VPN建立安全通道实现安全远程管理。

VPN设备遵循GM/T 0024《SSLVPN技术规范》或GM/T 0022《IPSec VPN技术规范》等标准。


设备和计算安全

基础防护

利用密码技术对登录虚拟化操作系统用户的身份鉴别(采用数字证书+USBKey)和访问控制以及对日志数据的完整性等进行保护。

对安全能力要求高的政务云平台,应采用基于商密系列算法设计的政务云平台。


密码计算资源池

以实体机或利用虚拟化技术的虚拟机,为信息系统提供数据加解密、签名验签、杂凑等密码运算服务,实现信息的机密性、完整性、真实性和不可否认性保护。

密码机与云密码机管理需要采用安全浏览器,可基于SM2标准SSL VPN协议,实现身份鉴别及通信的保密性和完整性。

设备管理与业务管理分开,采用各级管理员基于角色的管理体系,各自具有不交叉的权限,提供证书加智能密码钥匙/智能IC卡等多因素认证手段。

提供可追溯的审计记录,使用密码技术保证审计记录的完整性;

保证管理员利用网络对设备进行远程管理时的身份鉴别,防止身份信息泄露。


应用和数据安全

数据库加密

采用数据库加密系统或数据库加密网关解决数据库加密问题,并对数据库操作日志进行保护。

加解密密钥由硬件密码卡/密码机产生。

若采用数据库加密网关会极大的影响网络性能,涉及安全性要求较高的数据库环境,采用HSM和数据库加密软件共同完成对主密钥的保护;

采用SM4算法和随机密钥对数据或字段进行加密。

采用密钥管理系统实现对云中多租户、多存储类型加密需求的密码保护和管理能力。


数据存储加密

操作系统中部署存储加密系统软件或直接部署存储加密网关,实现对存储资源、虚拟存储、文件系统、文件数据等的加解密功能。

对不同的文件和目录/文件系统/云磁盘应采用不同的加密密钥进行加密;

采用SM4算法和随机密钥对数据或字段进行加密。

采用密钥管理系统实现对云中多租户、多存储类型加密需求的密码保护和管理能力。


应用安全

在代码和应用设计部分采用符合国家相关要求的商密算法以保证其自身的安全性和健壮性。

需要采用密码技术对信息系统的访问控制策略(如安全策略、资源访问控制列表等)、重要信息资源(如数据标签)等进行保护,防止被非法篡改。

对重要应用程序(如重要业务系统、关键应用系统)的加载和卸载,需要采用密码技术进行控制,防止重要应用程序在加载过程中被非法篡改。


密钥管理方案

数字证书均通过外部电子认证服务机构统一发放和管理。

密码管理人员在密码设备投入使用前,按照密码操作规程在用户环境中对设备进行初始化,完成密钥生成。

在密码产品运维管理过程中,按照密码操作规程对密钥进行备份(恢复)、归档、销毁等管理操作。

密钥管理系统为云计算平台、云密码功能服务、云密码业务服务、密码系统、应用终端等提供密钥管理相关的支持活动,如加密密钥托管、密钥安全隔离和存储、密钥安全访问、密钥高可用等服务的一种密钥管理基础设施。

密码管理人员应按照密码操作规程对密钥存储介质进行安全管理。

用户/终端私钥:用户/终端私钥可采用智能密码钥匙等硬件密码产品或软件密码产品进行保护。

云服务端私钥:云服务端密钥存放在云密码资源池的硬件密码设备中。

密钥加密密钥:密钥加密密钥存放在安全的硬件密码设备中或受密码设备内其他密钥加密密钥加密保护。

数据加密密钥:数据加密密钥指用于数据加密存储或数据加密传输的对称密钥。数据加密密钥包括会话密钥和存储加密密钥。


安全管理方案

密码安全管理制度和操作规范

执行记录

应急处置方案


4. 密码设备和系统的选择


应选择具有国家密码管理局颁发的商用密码产品型号证书的服务器密码机、云密码机、密钥管理系统、USBKey、SSL VPN安全网关、数据库加密系统、安全浏览器等。


5. 密码算法配置与使用


使用的密码产品需配置使用国产密码算法SM2/SM3/SM4。


政府机关移动办公安全解决方案


1.方案背景

       随着 Internet 技术和移动技术的不断发展,越来越多的政府机关已依托互联 网组建了自己的网上办公系统与业务应用系统,多数单位也已应用了移动 APP 使移动办公成为可能。

       在此过程中,如何解决基于开放系统互联下的移动办公数据及文件的安全性、 个人身份认证、以及网络数据传输的安全性成为政府机关首要考虑的迫切问题。

       2.安全需求分析

       根据政府机关对网络信息系统建设的需要,在实现移动办公安全接入的同时, 结合国家政策对相关网络通讯协议和加密算法的要求,其安全接入需求主要如下 所述:

       (1)业务系统机密数据安全保密性需求

       在移动办公或移动业务操作过程中,因终端的种类较多,有各种移动 PC、 移动平板和移动手机,对于办公系统或业务系统的敏感机密数据的安全保密性要 求较高。要保障这些数据对移动终端是隔离的、安全的,并且不在移动终端设备 上存储敏感机密信息(一旦存储即存在被窃取或主动/被动数据泄露的可能)。

       (2)网络通讯协议及加密算法的合规性需求

       网络传输通讯协议必须符合国家密码管理局颁布的相关国家技术标准,符合 《SSL VPN 技术规范》的要求。

       加密算法必须使用国家密码管理局颁布的加密算法。对数据加密的对称算法 应使用 SM1 或 SM4 算法;用于证书认证的非对称算法应使用 SM2 算法,摘要 算法应使用 SM3 算法。

       (3)移动设备、网关设备与用户的管理与安全性需求

       对所有移动设备、网关设备和移动用户采用统一、严格的身份认证和集中管 理;需实现实时监控网关设备及用户工作状态,并进行详细日志记录;对移动设 备上的用户操作进行详细记录;整个系统安装方便、快捷,便于维护和管理。

       3.方案综述

       3.1 移动办公安全解决方案说明

       根据政府机关的移动办公及移动业务操作的实际需求,我们采用经国密局鉴 定通过的 VPN 密码机、支持 SM2 证书的 CA 服务器,以及虚拟手机服务器的组 合应用解决方案,解决政府机关在移动办公及移动业务操作过程中的数据及文件 的安全保密、网络传输安全保密、人员身份认证、设备集中管理及访问控制等。具体的网络拓扑图及解决方案如下(本方案旨在表述“移动安全接入”,整体完 备的信息安全解决方案不再此表述):

商用密码应用安全性评估测评系列材料【补充 】

图 3-1    移动办公安全解决方案网络拓扑图

       在政府机关内网的互联网出口处部署高端 IPSEC/SSL VPN 综合网关作为安 全接入网关。VPN 密码机内置硬件加密卡,支持 SM1、SM2、SM3、SM4 等国 产密码算法,符合国密局 VPN 技术规范要求。同时,VPN 综合安全网关集成的 防火墙功能可进行网络访问控制及网络安全防护。VPN 综合安全网关对移动用 户提供统一的基于 SM2 证书的身份认证、访问授权及隧道通讯服务。当用户通 过身份认证后,根据其角色确定相应的访问控制列表,并向终端推送授权的虚拟 手机设备连接配置以访问不同的业务系统。

       在政府机关内网部署 CA 服务器,为所有移动用户签发 SM2 算法的证书, 使用证书方式对移动用户的远程接入进行身份认证。CA 服务器需符合国密局 《SM2 数字证书规范》。

       在政府机关内网部署虚拟手机服务器,提供虚拟手机池为移动用户接入使用。支持虚拟手机设备的统一管理,移动应用的统一管理,移动用户使用虚拟手机的 行为安全策略管理。可根据策略让虚拟手机池中的虚拟手机设备安装不同的应用, 根据角色分配虚拟手机设备的连接配置,虚拟手机服务器符合等保要求中对移动 信息系统建设的要求。

       移动用户在平板、手机上安装安全虚拟手机客户端,在使用 SM1 或 SM4 算 法加密的隧道中连接虚拟手机池中的虚拟手机来进行远程安全接入访问,使用写 入 SM2 证书的安全 TF 卡进行身份认证。移动用户在移动 PC 终端上安装 SSL VPN 客户端,在使用 SM1 或 SM4 算法加密的隧道中连接内网的 RDP 服务器的 远程桌面或应用进行远程安全接入访问,使用写入 SM2 证书的 USBKey 进行身 份认证。安全 TF 卡及 USBKey 均自带加密芯片,支持 SM1、SM2、SM3、SM4 国产加密算法。

       部署方案设备清单:

商用密码应用安全性评估测评系列材料【补充 】

       3.2 移动办公安全解决方案优势及特点

       (1)移动办公应用及业务的数据和文件与个人终端彻底分离,在个人终端 数据 0 留存,个人终端上看见的仅是图像,而工作数据及文件集中在政府机关内 部数据中心。

       数据在内部网络存储,易于机关单位集中防护;

       手机端只展示虚拟手机画面,0 数据留存,手机丢失也不用担心数据流失;

       工作场景数据在内网备份,更换手机后可快速恢复工作环境。

       (2)政府机关相关的移动应用始终在内网运行,外网的移动终端上仅传输 屏幕图像和触控操作。

       无需担心网络安全攻击造成的数据泄露,即使被拦截获取,也是一些加密的 图像数据,无意义;

       对移动设备的网络攻击(恶意 WIFI,ARP、DNS 欺骗等),木马病毒等无 法威胁到运行在企业内网的移动应用;

       拷屏操作将被系统审计机制记录并报警。

       (3)运维简单:政府机关相关的移动应用在内网统一管理、部署、升级, 无需对移动用户的移动设备进行复杂管理。

       (4)移动设备兼容性好,安全虚拟手机客户端可在主流的 Android 手机、 平板上运行。

       4.应用案例

       某信息中心为实现移动办公及移动业务操作,提出需求,既要能方便地进行 远程移动办公和移动业务操作,又希望工作数据在个人的移动终端上的安全性要 得以保障。

       根据某信息中心的需求,我们在信息中心网络的互联网出口处部署了高端 SJJ1209 IPSEC/SSL VPN 综合安全网关,用于移动用户的远程安全接入。在信息 中心内网中部署了虚拟手机服务器,提供虚拟手机池,其中的虚拟手机为远程接 入的移动用户提供办公 APP 和业务 APP 来进行远程办公和业务操作。在需要进 行移动办公和移动业务操作的移动终端上安装安全虚拟手机客户端及写入了 SM2 证书的安全 TF 卡,移动终端使用安全 TF 卡内的 SM2 证书进行身份验证, 并与 VPN 网关建立国密隧道,通过国密隧道访问虚拟手机池内的虚拟手机进行 远程移动办公和移动业务操作。

       对于信息中心而言,我们提供了一个集中化的易于维护和管理的高效工作平 台,所有的虚拟手机都托管在信息中心内网数据中心服务器上由管理员统一维护 管理,管理员对信息中心的移动办公应用进行统一的发布管理,对安全漏洞进行 统一的处理应对。同时移动应用和数据均不离开数据中心,始终限制在内网,与 外网完全隔离,移动终端设备零数据留存,只是展示操作画面,工作数据安全得 以保障。

       对于移动用户而言,通过安全虚拟手机客户端,可以随时随地通过安全的国 密隧道访问信息中心分配给自己的虚拟手机,进行移动办公和移动业务操作,大 大提升工作效率。并且安全虚拟手机客户端只是一个展示远程虚拟手机画面的瘦 客户端软件,不会对移动用户手机进行强有力的管控,信息中心在确保移动办公 信息安全的同时又很好的兼顾了移动用户个人隐私。


安全电子邮件系统国产密码应用方案


1. 概述


安全电子邮件系统由安全邮件客户端、安全邮件服务器端和密码服务管理平台组成。

安全邮件客户端一般包含Web端、PC客户端和移动客户端三种类型,为用户收/发邮件的操作界面,其中PC客户端与移动客户端加载安全邮件SDK,Web客户端加载安全加密插件。

安全邮件服务器端主要包含邮件接入网关、服务器密码机、密码服务管理平台接入服务器、邮件服务器、Web服务器、管理服务器等。

商用密码应用安全性评估测评系列材料【补充 】

2. 密码安全需求


2.1 通信安全需求


为防止邮件在网络传输中被窃听,需要采用商密算法对邮件进行机密性保护。

为了防止邮件在传输的过程中被修改,需要对邮件进行杂凑计算,确保其内容的完整性。

为了保证邮件传输过程通道的机密性,需采用商密SSL通道保护,对传输内容进行加密。


2.2 存储安全需求


为了保证邮件信息、个人信息在本地存储的机密性,需要采用加密技术确保本地信息的安全。

为了保证用户账户安全,需要采用密码技术保证用户账号信息在后台存储的安全,确保用户口令、个人信息不被泄露。

为了用户数据信息安全,需要采用三员分立机制和访问控制技术,确保管理、运维人员无法查看用户邮件明文内容,无法窃取用户隐私。


2.3 网络信任需求


为了确保邮件在网络传输的安全性,需要基于证书技术实现通信双方的身份鉴别。

对邮件系统使用者、管理者的身份合法性进行验证,确保用户信息不被仿冒者访问。


3. 密码应用需求


3.1 密码和环境安全


依托现有的机房环境的安全措施,利用电子门禁系统对人员身份进行确认,防止非法人员进入;利用视频监控系统对人员行为进行记录。

选用符合GM/T0036标准的电子门禁系统,并对人员进出记录等数据进行完整性保护。

在视频监控系统中部署视频采集加密系统,对视频监控音像记录等数据进行保护。


3.2 网络和通信安全


在安全接入区网络边界部署SSL VPN网关,为邮件客户端建立安全的信息传输通道。

SSL VPN网关采用SSL协议进行设备间的身份鉴别和密钥协商,建立安全传输信道。

SSL VPN网关采用SSL协议对传输的数据进行机密性和完整性的保护。


3.3 设备和计算安全


结合密码中间件、TF密码卡或USBKey+数字证书方式,对登录计算机终端及移动终端的用户身份进行鉴别对用户登录的日志信息进行完整性保护,结合终端防护措施进行防护。


3.4 应用和数据安全


邮件内容安全

安全用户间的邮件交互

安全用户与非安全用户间的邮件


邮件传输安全

采用基于SSL安全通道来保证安全邮件客户端到邮件服务器之间的传输通道安全;

安全邮件服务器与其它邮件系统之间采用商密算法建立安全传输通道。


用户账户安全

用户登录安全

账户信息存储安全


3.5 密钥管理方案


数字证书均通过电子政务电子认证服务机构统一发放和管理。

密钥均由商用密码产品负责全生命周期管理。

密码管理人员在密码设备投入使用前,按照密码操作规程在用户环境中对设备进行初始化,完成密钥生成。

在密码产品运维管理过程中,按照密码操作规程对密钥进行备份(恢复)、归档、销毁等管理操作。

密码管理人员应按照密码操作规程对密钥存储介质进行安全管理。


3.6 安全管理方案


密码安全管理制度和操作规范

执行记录

应急处置方案


4. 密码设备和系统的选择


应选择具有国家密码管理局颁发的商用密码产品型号证书的密码中间件、TF卡/USBKey、服务器密码机、SSL VPN安全网关等。


5. 密码算法配置与使用


使用的密码产品需配置使用国产密码算法SM2/SM3/SM4。


机关电子公文系统国产密码应用方案


   电子公文是指各地区、各部门通过由国务院办公厅统一配置的电子公文传输 系统处理后形成的具有规范格式的公文的电子数据。

       1. 概述

       参照 GB/T 33482-2016《党政机关电子公文系统建设规范》

       电子公文系统的运行依托统一的基础设施,包括网络/通道、公钥基础设 施、目录服务等。

       电子公文标准化套件运行于系统的客户端,包含文字处理、版式阅读、 电子签章等组件。

       电子公文处理系统实现电子公文的收发文管理和公文归档等功能。

       电子公文交换系统支持电子公文处理系统间或收发文单位之间的电子公 文传输。

       2.电子公文系统典型应用模式

商用密码应用安全性评估测评系列材料【补充 】

       如上图所示,简单解释如下:

       1)基础设施:包括通个信网络/通道、公钥基础设施、目录服务等;

       2)在一个地区(如省市),整个系统由服务端、客户端组成,通过电子公文 交换系统与其他省市节点(Ni)实现电子公文安全数据交换;

       3.电子公文系统密码安全需求

       3.1 电子公文处理系统

       对访问系统的用户身份进行鉴别,以确保用户身份的真实性,避免非法 用户进入系统。

       对存储的大量电子文件进行加密保护,以确保电子文件的机密性,避免 被非授权人员窃取。

        对用户权限信息进行签名处理,以确保权限信息的真实性和完整性,避 免非授权人员伪造权限信息。

       对系统日志进行完整性保护,避免非法人员篡改日志记录。

       3.2 公文处理终端

       配合电子公文处理系统,完成对用户身份的鉴别,以确保用户身份的真 实性。

       对用户关键操作进行签名处理,以确保关键业务操作的不可否认性。

       对成文的电子公文加盖电子签章,确保文件的真实性和不可否认性。

       3.3 电子公文交换系统

       对访问系统的用户身份进行鉴别,以确保用户身份的真实性,避免非法 用户进入系统。

       对用户权限信息进行签名处理,以确保权限信息的真实性和完整性,避 免非授权人员伪造权限信息。

       对应用间传递的交换数据进行签名处理,作为数据来源真实性的证明。

       对系统日志进行完整性保护,避免非法人员篡改日志记录。

       3.4 公文交换终端

        配合电子公文交换系统,完成对用户身份的鉴别,以确保用户身份的真 实性。

       对待发的电子公文进行源数据加密,在接收方进行解密处理,以确保电 子文件的机密性,避免内外部用户对文件的非法访问。

       4 密码应用方案总体架构

商用密码应用安全性评估测评系列材料【补充 】

       4.1 物理和环境安全

       依托于现有的机房环境和办公环境的安全措施,利用电子门禁系统对人 员身份进行确认,防止非法人员进入;利用视频监控系统对人员行为进 行记录。

       选用符合 GM/T 0036 标准的电子门禁系统,并对人员进出记录等数据进 行完整性保护。

       在视频监控系统中部署视频采集加密系统,对视频监控音像记录等数据 进行保护。

       4.2 网络和通信安全

       在网络边界部署 VPN 安全网关,为通过互联网访问系统的终端或应用系 统之间建立安全的信息传输通道,对网络传输的数据进行加密保护,保障网 络和通信安全。

       VPN 安全网关之间采用 IPSec 协议或 SSL 协议进行设备间的身份鉴别和 密钥协商,建立安全传输信道。

        VPN 安全网关采用 IPSec 协议或 SSL 协议对传输的数据进行机密性和完 整性的保护。

       4.3 设备和计算安全

        部署终端安全防护系统,结合身份鉴别 USBKey,基于数字证书+USBKey 方式,对登录计算机终端操作系统的用户身份进行鉴别,对用户登录的 日志信息进行完整性保护,并对终端操作系统进行保护。

       4.4 应用和数据安全

       电子公文处理系统

              终端用户身份鉴别

              电子公文加密存储

              电子公文签章

              系统重要数据签名及验签

       电子公文交换系统

              终端用户身份鉴别

              电子公文元数据加解密

              系统重要数据签名及验签

       4.5 密钥管理方案

       选择现有电子政务电子认证基础设施统一发放和管理数字证书。

       密钥均由商用密码产品负责全生命周期管理。

       密码管理人员在密码设备投入使用前,按照密码操作规程在用户环境中 对设备进行初始化,完成密钥生成。

       在密码产品运维管理过程中,按照密码操作规程对密钥进行备份(恢复)、 归档、销毁等管理操作。

       密码管理人员应按照密码操作规程对密钥存储介质进行安全管理。

       4.6 安全管理方案

       密码安全管理制度和操作规范

       电子公文系统密码应用方案

       执行记录

       应急处置方案

       5 密码设备和系统的选择

       应选择具有国家密码管理局颁发的商用密码产品型号证书的服务器密码机 /密码卡/USBKey、安全接入 VPN 网关、签名验签服务器、电子签章系统等。

       6 密码算法配置与使用

       使用的密码产品需配置使用国产密码算法 SM2/SM3/SM4。


电子证照系统国产密码应用方案


1应用背景

       随着社会不断发展,各种证照层出不穷,五花八门的证照给公众办证用证造成了诸多不便,而纸质证照的使用和管理存在不便于保存、伪证假证泛滥、难以验证等问题,造成资源严重浪费,不利于提高政府办事效率与服务水平。

       2016年9月29日,国务院印发《关于加快推进“互联网+政务服务”工作的指导意见》指出,凡是能通过网络共享复用的材料,不得要求企业和群众重复提交;凡是能通过网络核验的信息,不得要求其他单位重复提供;凡是能实现网上办理的事项,不得要求必须到现场办理。这些要求的核心是通过归集各部门电子证照数据,实现证照信息的复用与核验。

       推广电子证照应用,将减轻群众办理证件负担、减少证件社会运行成本,提升政府服务能力,从根本上杜绝假证泛滥,进一步优化经济社会发展环境。

       电子证照的成功应用应满足以下两方面需求:

       一是电子证照的合法性。如何让办事部门认可电子证照的合法性,进而实现部门间证照互认,是电子证照得到应用的关键。通过引入电子印章、电子签名等技术手段,对电子证照文件内容进行数字签名,可以确保电子证照的合法性。

       二是电子证照的安全性。电子证照在表现形式上与纸质证照相同,如果缺少安全管理机制,更容易滋生假证、假照。在证照的发放、查询、核验、入库等环节,要建立电子证照数据安全传输、防篡改、完整性校验等安全保护机制。

       2密码应用总体架构

       电子证照密码应用体系包含CA证书认证系统、安全接入系统、数子签名系统、电子印章系统,电子证照系统密码应用总体架构如图2所示。

商用密码应用安全性评估测评系列材料【补充 】

图2   电子证照系统密码应用总体架构

              CA证书认证系统采用密码技术,为证照签发部门、证照使用部门、电子证照中心发放数字证书,解决电子证照参与各方的身份可信,防止身份假冒;

              安全接入系统(VPN)解决各接入部门与电子证照中心之间传输信息的机密性和完整性,防止非法窃取和非法篡改。

              数字签名系统将各部门发送的数据进行数字签名,解决数据来源不可靠、非法替换等问题。

              电子印章系统采用电子印章技术,依据证照签发部门提供的有效证照数据,生成电子证照模板,并加盖电子印章。

       密码技术在电子证照系统中的使用包括电子证照的签发过程和电子证照的使用过程。

       2.1电子证照的签发

       对列入电子证照目录的证照,证照签发部门通过加密通道把证照信息传递给电子证照库系统,电子证照库系统对电子证照数据进行数字签名,调用证照模板,生成电子证照版式文件并返回签发部门,签发部门在电子证照版式文件上加盖电子印章,完成电子证照制作。该过程中产生的签名数据保存在电子证照库中,为验证证照真伪提供基础支撑。

       电子证照签发过程中的密码应用如下图所示。

商用密码应用安全性评估测评系列材料【补充 】

图3   电子证照签发密码应用示意图

       2.2电子证照的使用

       政府部门在进行行政审批等事项时需要在线查验证照,业务系统通过加密通道从电子证照库按需调取电子证照,通过验证电子证照数字签名确认电子证照信息的真伪,杜绝伪造假冒证照的行为。整个过程准确高效,无须手工录人,减少纸质申报材料,提高了业务审批效率。

       电子证照使用过程中的密码应用如下图所示。

商用密码应用安全性评估测评系列材料【补充 】

图4   电子证照使用过程密码应用示意图

       密码产品的选择

              CA证书管理系统:应采用第三方CA的证书服务或自建CA数字证书管理系统,其中第三方CA应具备国家密码管理局与工信部颁发的相关资质,CA数字证书管理系统应具备国家密码管理局颁发的商用密码产品型号证书。

              安全接入系统VPN、数字签名系统(签名验签服务器系统)、电子印章系统应具备国家密码管理局颁发的商用密码产品型号证书。

       密码算法配置与使用

       使用的密码产品需配置使用国产密码算法SM2/SM3/SM4/ZUC。


电子政务密码应用解决方案


1. 概述


国家密码管理局在《关于做好公钥密码算法升级工作的函》中要去 2011 年7 月 1 日以后建立并使用公钥密码的信息系统,应当使用 SM2 算法;以建设完成的系统,应尽快进行系统升级,使用 SM2 算法。对于数字证书的使用应符合《深圳市电子公共服务数字证书使用技术指南》要求。

中办、国办联合印发的关于《金融和重要领域密码应用与创新发展工作规划(2018-2022)》(厅字[2018]36 号)中,在重点行业进行商用密码和产品使用做出规划性指导意见。


2. 需求分析


目前,CA 中心只支持 RSA 国密通用密码算法,在此基础上建立的数字证书身份认证、加密传输等密码保护措施存在安全风险。需建立一套自主、可控并且安全的密钥基础支撑平台,以此展开对电子政务数据加密传输、无纸化办公、数据安全存储、电子回执、电子审批等各个密码应用环节,达到整体的机密性、完整性、可用性、可控性、不可否认性以及责任回溯。


3. 方案架构


3.1 技术架构


可采用自建 CA 方式,为整个体系应用提供国密数字证书来源,并部署密码安全产品为上层应用系统应用支撑,完成电子回执、电子审批,互联网申报和无纸化办公的全电子化方式的密码应用。

商用密码应用安全性评估测评系列材料【补充 】

图 3-1 方案架构图


3.2 产品部署图


分为互联网区、DMZ 区和核心业务区三个部分,其中 CA 中心部署在核心业务区中的安全区。互联网区客户端安装支持国密算法的浏览器,部分企业用户还需采用 U-KEY 方式经过互联网通道完成双向身份认证。DMZ 区部署 SSL 应用安全网关和用户建立端到端的安全隧道。核心业务区部署 CA 中心,签名验签服务器和电子印章服务器并和业务系统完成业务接口对接。推荐密码产品采用双机部署方式保障业务的高可用和冗余,减少单点故障风险。

商用密码应用安全性评估测评系列材料【补充 】

图 3-2 产品部署图


3.3 主要功能


数据安全传输。适配国密算法的浏览器,实现双向身份认证和基于国密算法建立 SSL/TLS 安全通道,保障数据交互的机密性和完整性。

可信国密数字证书应用。签名验签服务器验证数字证书的有效性和合法性,结合电子签章系统管理可视电子印章的使用,对敏感数据和电子单证存档,保障整体业务数据的公信力、不可否认性和鉴别。


3.4 主要技术指标


本方案主要达到以下技术指标:

建设基于 SM2 系列的数字证书应用支撑平台,全方位提升数据的加密传输、安全存储、可回溯以及业务单证的采信。


4. 方案特色


安全传输、服务高可靠。SSL 应用安全网关具备硬件加速模块和负载均衡功能附以 HTTP 压缩 WEB 高速缓存功能,提供高性能的应用支撑。方案采用双机HA 部署方式,保障业务的冗余,避免单点故障,全面提升客户体验。

数据安全。在身份认证、数字签名、签名验证和电子签章的可视表现,解决了电子业务单证的完整性、公信力、不可否认性,并可对重要数据、电子业务单证进行加密存储,便于责任回溯。

自主、可控。本方案推荐采用自建 CA 基础密钥设施方式,可以根据自身业务需要合理进行调整。

经济、可行。一次性建设,再无其他证书方式逐年续费;本方案产品和方案设计参考国家相关规范文档,合规、可靠、易部署。


5. 适用领域


本方案主要适用工商局、人社厅(局)的互联网申报、电子回执、电子审批、办公系统单点登录以及办事窗口场景,同时适用于税务、网厅、国土、发改委等类似的电子政务场景。


商用密码应用安全性评估测评系列材料【补充 】


其他标准下载地址:


http://www.gmbz.org.cn/main/bzlb.html


商用密码应用安全性评估测评系列材料【补充 】



密码标准体系


卷 Elements SE 的文件夹 PATH 列表

卷序列号为 B2CE-66A8

G:.

│  

├─基础设施类标准

│      GMT 0014-2012 数字证书认证系统密码协议规范.pdf

│      GMT 0015-2012 基于SM2密码算法的数字证书格式规范.pdf

│      GMT 0034-2014 基于SM2密码算法的证书认证系统密码及其相关安全技术规范.pdf

│      GMT 0085-2020 基于SM9标识密码算法的技术体系框架.pdf

│      GMT 0086-2020 基于SM9标识密码算法的密钥管理系统技术规范.pdf

│      GMT 0090-2020 标识密码应用标识格式规范.pdf

│      GMT 0091-2020 基于口令的密钥派生规范.pdf

│      GMT 0092-2020 基于SM2算法的证书申请语法规范.pdf

│      GMT 0093-2020 证书与密钥交换格式规范.pdf

│      GMT 0094-2020 公钥密码应用技术体系框架规范.pdf

│      GMT 0098-2020 基于IP网络的加密语音通信密码技术规范.pdf

│      

├─密码产品类标准

│  │  06-IPSec VPN命令参考-IPsec命令.pdf

│  │  06-SSL VPN命令参考-SSL VPN命令.pdf

│  │  06-VPN命令参考-前言.pdf

│  │  06-VPN命令参考-整本手册.pdf

│  │  06-VPN命令参考-隧道命令.pdf

│  │  1.SSL VPN介绍.pptx

│  │  2.SSL VPN基础运维.pptx

│  │  3.SSL VPN安装部署.pptx

│  │  4.SSL VPN用户认证.pptx

│  │  5.SSL VPN资源与角色.pptx

│  │  GBT 32922-2016 信息安全技术 IPSec VPN安全接入基本要求与实施指南.pdf

│  │  GBT 36322-2018 信息安全技术 密码设备应用接口规范.pdf

│  │  GBT 36968-2018 信息安全技术 IPSec VPN技术规范.pdf

│  │  GBT 36968-2018 信息安全技术 IPSec VPN技术规范.xdf

│  │  GBT 37092-2018 信息安全技术 密码模块安全要求.pdf

│  │  GBT 38629-2020 信息安全技术 签名验签服务器技术规范.pdf

│  │  GBT 38636-2020 信息安全技术 传输层密码协议(TLCP).pdf

│  │  GMT 0012-2020 可信计算 可信密码模块接口规范.pdf

│  │  GMT 0016-2012 智能密码钥匙密码应用接口规范.pdf

│  │  GMT 0017-2012 智能密码钥匙密码应用接口数据格式规范.pdf

│  │  GMT 0018-2012 密码设备应用接口规范.pdf

│  │  GMT 0022-2014 IPSec VPN技术规范.pdf

│  │  GMT 0023-2014 IPSec VPN网关产品规范.pdf

│  │  GMT 0024-2014 SSL VPN技术规范.pdf

│  │  GMT 0025-2014 SSL VPN网关产品规范.pdf

│  │  GMT 0026-2014 安全认证网关产品规范.pdf

│  │  GMT 0027-2014 智能密码钥匙技术规范.pdf

│  │  GMT 0028-2014 密码模块安全技术要求.pdf

│  │  GMT 0029-2014 签名验签服务器技术规范.pdf

│  │  GMT 0030-2014 服务器密码机技术规范.pdf

│  │  GMT 0045-2016 金融数据密码技术规范.pdf

│  │  GMT 0050-2016 密码设备管理 设备管理技术规范.pdf

│  │  GMT 0051-2016 密码设备管理 对称密钥管理技术规范.pdf

│  │  GMT 0052-2016 密码设备管理 VPN设备监察管理规范.pdf

│  │  GMT 0053-2016 密码设备管理 远程监控与合规性检验数据接口规范.pdf

│  │  GMT 0056-2018 多应用载体密码应用接口规范.pdf

│  │  GMT 0058-2018 可信计算 TCM服务模块接口规范.pdf

│  │  GMT 0078-2020 密码随机数生成模块设计指南.pdf

│  │  GMT 0082-2020 可信密码模块保护轮廓.pdf

│  │  GMT 0083-2020 密码模块非入侵式攻击缓解技术指南.pdf

│  │  GMT 0084-2020 密码模块物理攻击缓解技术指南.pdf

│  │  GMT 0088-2020 云服务器密码机管理接口规范.pdf

│  │  GW 0201-2011 IPSec VPN安全接入技术要求与实施指南.pdf

│  │  IPSec VPN之IKE协议详解 _ 曹世宏的博客.pdf

│  │  IPSec VPN之IKE协议详解.html

│  │  IPSec VPN的VPN配置步骤.docx

│  │  LS-MOE-2012-TP-4018-教育服务与监管体系信息化建设项目-SSL VPN安全配置规范V1.1.doc

│  │  SANGFOR_SSL VPN-CONF-31-01_控制台密码恢复操作指南.pdf

│  │  SANGFOR_SSL VPN-CONF-31-02_恢复出产设置操作指南.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-05-04_网关模式单线路部署指导.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-13-01_本地密码认证配置指导.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-15-02_GSM&CDMA短信猫方式短信认证测试指导.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-18-01_硬件特征码认证测试指导.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-22-01_TCP资源测试指导.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-23-02_L3VPN资源测试指导.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-31-03_配置备份与恢复指南.pdf

│  │  SANGFOR_SSL VPN7.1-CONF-31-04_忘记地址如何登陆控制台指导书.pdf

│  │  SANGFOR_SSL VPN7.1-CONF_05_01_单臂模式单线路部署指导.pdf

│  │  SANGFOR_SSL VPN7.1SSL-CONF-32-10_系统配置序列号说明文档.pdf

│  │  SANGFOR_SSL VPN_等保三级场景配置指导手册v1.0.docx

│  │  SJJ1748金融数据密码机技术白皮书 v1.02.pdf

│  │  SSL VPN.html

│  │  SSL VPN产品技术知识脑图-V2.1.xmind

│  │  SSL VPN(深信服)作业指导书-202010.xlsx

│  │  江苏先安科技有限公司 NetONE产品 IPSec VPN用户手册.doc

│  │  深信服IPSec VPN_V4.3技术白皮书.pdf

│  │  移动终端密码模块中关村团体标准.rar

│  │  西部数码信息系统 网络密码设备管理制度.doc

│  │  西部数码信息系统 网络密码设备管理制度.pdf

│  │  

│  └─移动终端密码模块中关村团体标准

│          T_ZSA 67.1-2019《移动智能终端密码模块技术框架 第1部分:总则》.pdf

│          T_ZSA 67.2-2019《移动智能终端密码模块技术框架 第2部分:密钥加密本地保护》.pdf

│          T_ZSA 67.3-2019《移动智能终端密码模块技术框架 第3部分:密钥加密服务端保护》.pdf

│          T_ZSA 67.4-2019《移动智能终端密码模块技术框架 第4部分:密钥多端协同计算保护技术架构》.pdf

│          T_ZSA 67.5-2019《移动智能终端密码模块技术框架 第5部分:基于安全芯片的技术架构》.pdf

│          

├─密码基础类标准

│      GBT 17964-2008 信息安全技术 分组密码算法的工作模式.pdf

│      GBT 32905-2016 信息安全技术 SM3密码杂凑算法.pdf

│      GBT 32907-2016 信息安全技术 SM4分组密码算法.pdf

│      GBT 32918.1-2016 信息安全技术 SM2椭圆曲线公钥密码算法 第1部分:总则.pdf

│      GBT 32918.2-2016 信息安全技术 SM2椭圆曲线公钥密码算法 第2部分:数字签名算法.pdf

│      GBT 32918.3-2016 信息安全技术 SM2椭圆曲线公钥密码算法 第3部分:密钥交换协议.pdf

│      GBT 32918.4-2016 信息安全技术 SM2椭圆曲线公钥密码算法 第4部分:公钥加密算法.pdf

│      GBT 32918.5-2017 信息安全技术 SM2椭圆曲线公钥密码算法 第5部分:参数定义.pdf

│      GBT 33133.1-2016 信息安全技术 祖冲之序列密码算法 第1部分:算法描述.pdf

│      GBT 33560-2017 信息安全技术 密码应用标识规范.pdf

│      GBT 35275-2017 信息安全技术 SM2密码算法加密签名消息语法规范.pdf

│      GBT 35276-2017 信息安全技术 SM2密码算法使用规范.pdf

│      GBT 38635.1-2020 信息安全技术 SM9标识密码算法 第1部分:总则.pdf

│      GBT 38635.2-2020 信息安全技术 SM9标识密码算法 第2部分:算法.pdf

│      GMT 0001.1-2012 祖冲之序列密码算法:第1部分:算法描述.pdf

│      GMT 0001.2-2012 祖冲之序列密码算法:第2部分:基于祖冲之算法的机密性算法.pdf

│      GMT 0001.3-2012 祖冲之序列密码算法:第3部分:基于祖冲之算法的完整性算法.pdf

│      GMT 0002-2012 SM4分组密码算法.pdf

│      GMT 0003.1-2012 SM2椭圆曲线公钥密码算法第1部分:总则.pdf

│      GMT 0003.2-2012 SM2椭圆曲线公钥密码算法第2部分:数字签名算法.pdf

│      GMT 0003.3-2012 SM2椭圆曲线公钥密码算法第3部分:密钥交换协议.pdf

│      GMT 0003.4-2012 SM2椭圆曲线公钥密码算法第4部分:公钥加密算法.pdf

│      GMT 0003.5-2012 SM2椭圆曲线公钥密码算法第5部分:参数定义.pdf

│      GMT 0004-2012 SM3密码杂凑算法.pdf

│      GMT 0006-2012 密码应用标识规范.pdf

│      GMT 0009-2012 SM2密码算法使用规范.pdf

│      GMT 0010-2012 SM2密码算法加密签名消息语法规范.pdf

│      GMT 0044.1-2016 SM9标识密码算法 第1部分:总则.pdf

│      GMT 0044.2-2016 SM9标识密码算法 第2部分:数字签名算法.pdf

│      GMT 0044.3-2016 SM9标识密码算法 第3部分:密钥交换协议.pdf

│      GMT 0044.4-2016 SM9标识密码算法 第4部分:密钥封装机制和公钥加密算法.pdf

│      GMT 0044.5-2016 SM9标识密码算法 第5部分:参数定义.pdf

│      GMT 0079-2020 可信计算平台直接匿名证明规范.pdf

│      GMT 0080-2020 SM9密码算法使用规范.pdf

│      GMT 0081-2020 SM9密码算法加密签名消息语法规范.pdf

│      GMY 5001-2020 密码标准应用指南.pdf

│      GMY 5002-2018 云计算身份鉴别服务密码标准体系.pdf

│      GMZ 4001—2013 密码术语.pdf

│      《信息安全等级保护商用密码技术要求》使用指南.pdf

│      信息安全技术 SM9密码算法使用规范-征求意见稿.doc

│      先知社区 浅析椭圆曲线加密算法(ECC).pdf

│      国家密码管理局 SM3密码杂凑算法.pdf

│      

├─密码应用类标准

│      07电子政务政务云平台云安全保密设计方案.xdf

│      1. 政务信息系统密码应用与安全性评估工作指南-刘尚焱.pdf

│      2. 国家标准《信息安全技术 信息系统密码应用基本要求(报批稿)》解读 -夏鲁宁.pdf

│      3. 信息系统密码应用测评要求-罗鹏.pdf

│      4. 信息系统密码应用测评过程指南-肖秋林.pdf

│      5. 商用密码应用安全性评估量化评估规则-马原.pdf

│      5月18日邹超:信息系统密码应用设计、改造与评估要点解析.pdf

│      6. 《信息系统密码应用高风险判定指引》解读-黎水林.pdf

│      7. 商用密码应用安全性评估报告模板与编写-吕娜.pdf

│      8. 2020年密评实战能力考核题目解析-郑昉昱.pdf

│      GBT 37033.1-2018 信息安全技术 射频识别系统密码应用技术要求 第1部分:密码安全保护框架及安全级别.pdf

│      GBT 37033.2-2018 信息安全技术 射频识别系统密码应用技术要求 第2部分:电子标签与读写器及其通信密码应用技术要求.pdf

│      GBT 37033.3-2018 信息安全技术 射频识别系统密码应用技术要求 第3部分:密钥管理技术要求.pdf

│      GBT 38540-2020 信息安全技术 安全电子签章密码技术规范.pdf

│      GBT 38541-2020 信息安全技术 电子文件密码应用指南.pdf

│      GBT 38556-2020 信息安全技术 动态口令密码应用技术规范.pdf

│      GBT 39786-2021 信息安全技术 信息系统密码应用基本要求.docx

│      GBT 39786-2021 信息安全技术 信息系统密码应用基本要求.pdf

│      GMT 0021-2012 动态口令密码应用技术规范.pdf

│      GMT 0031-2014 安全电子签章密码技术规范.pdf

│      GMT 0035.1-2014 射频识别系统密码应用技术要求 第1部分:密码安全保护框架及安全级别.pdf

│      GMT 0035.2-2014 射频识别系统密码应用技术要求 第2部分:电子标签芯片密码应用技术要求.pdf

│      GMT 0035.3-2014 射频识别系统密码应用技术要求 第3部分:读写器密码应用技术要求.pdf

│      GMT 0035.4-2014 射频识别系统密码应用技术要求 第4部分:电子标签与读写器通信密码应用技术要求.pdf

│      GMT 0035.5-2014 射频识别系统密码应用技术要求 第5部分:密钥管理技术要求.pdf

│      GMT 0036-2014 采用非接触卡的门禁系统密码应用技术指南.pdf

│      GMT 0054-2018 信息系统密码应用基本要求.pdf

│      GMT 0055-2018 电子文件密码应用技术规范.pdf

│      GMT 0070-2019 电子保单密码应用技术要求.pdf

│      GMT 0071-2019 电子文件密码应用指南.pdf

│      GMT 0072-2019 远程移动支付密码应用技术要求.pdf

│      GMT 0073-2019 手机银行信息系统密码应用技术要求.pdf

│      GMT 0074-2019 网上银行密码应用技术要求.pdf

│      GMT 0075-2019 银行信贷信息系统密码应用技术要求.pdf

│      GMT 0076-2019 银行卡信息系统密码应用技术要求.pdf

│      GMT 0077-2019 银行核心信息系统密码应用技术要求.pdf

│      GMT 0095-2020 电子招投标密码应用技术要求.pdf

│      GMT 0096-2020 射频识别防伪系统密码应用指南.pdf

│      GMT 0097-2020 射频识别电子标签统一名称解析服务安全技术规范.pdf

│      GMT 0099-2020 开放式版式文档密码应用技术规范.pdf

│      GMT 0100-2020 人工确权型数字签名密码应用技术要求.pdf

│      VPN国密协议及SM2证书的鉴定方法.pdf

│      《信息系统密码应用测评要求》等5项 密码应用与安全性评估指导性文件发布.txt

│      《政务信息系统密码应用与安全性评估工作指南》(2020版).pdf

│      云计算国产密码应用研究与技术方案设计.pdf

│      信息安全技术 信息系统密码应用测评要求-标准文本.doc

│      信息安全技术 信息系统密码应用测评要求-标准文本.pdf

│      信息系统密码应用测评要求.docx

│      信息系统密码应用测评要求.pdf

│      信息系统密码应用测评过程指南.pdf

│      信息系统密码应用设计、改造与评估要点解析.pdf

│      信息系统密码应用高风险判定指引.pdf

│      信息系统密码方案设计-刘平.pptx

│      典型商用密码应用方案.docx

│      典型商用密码应用方案.pdf

│      北京商用密码应用方案集锦.pdf

│      商用密码应用安全性评估.pdf

│      商用密码应用安全性评估报告模板(2020版).docx

│      商用密码应用安全性评估量化评估规则.pdf

│      商用密码应用方案.pdf

│      商用密码应用问题及安全性评估的重要性.pdf

│      国家密码局 《政务信息系统密码应用与安全性评估工作指南》(2020版).pdf

│      国家密码局 信息系统密码应用测评要求.pdf

│      国家密码局 信息系统密码应用测评过程指南.pdf

│      国家密码局 信息系统密码应用高风险判定指引.pdf

│      国家密码局 商用密码应用安全性评估报告模板(2020版).docx

│      国家密码局 商用密码应用安全性评估量化评估规则.pdf

│      密评过程与报告编制经验分享.pdf

│      案例分享 全国高速公路ETC系统测评-杨龙.pdf

│      案例分享 市政基础设施监管平台-冀利刚.pdf

│      案例分享 政务OA办公系统测评-邹超.pdf

│      案例分享 政务云密码支撑服务平台-刘军荣.pdf

│      测评要求解读.pdf

│      移动智能终端密码技术政企应用指南.pdf

│      经验分享 对密评试点工作中若干现象的思考与建议--杨宏志.pdf

│      经验分享 测评过程常见问题与解决思路-吴冬宇.pdf

│      认证授权和移动应急相关标准规范.pdf

│      

├─密码检测类标准

│      GBT 38625-2020 信息安全技术 密码模块安全检测要求.pdf

│      GBT 38625-2020 信息安全技术 密码模块安全检测要求.xdf

│      GMT 0005-2012 随机性检测规范.pdf

│      GMT 0008-2012 安全芯片密码检测准则.pdf

│      GMT 0013-2012 可信计算 可信密码模块符合性检测规范.pdf

│      GMT 0037-2014 证书认证系统检测规范.pdf

│      GMT 0038-2014 证书认证密钥管理系统检测规范.pdf

│      GMT 0039-2015 密码模块安全检测要求.pdf

│      GMT 0040-2015 射频识别标签模块密码检测准则.pdf

│      GMT 0041-2015 智能IC卡密码检测规范.pdf

│      GMT 0042-2015 三元对等密码安全协议测试规范.pdf

│      GMT 0043-2015 数字证书互操作检测规范.pdf

│      GMT 0046-2016 金融数据密码机检测规范.pdf

│      GMT 0047-2016 安全电子签章密码检测规范.pdf

│      GMT 0048-2016 智能密码钥匙密码检测规范.pdf

│      GMT 0049-2016 密码键盘检测规范.pdf

│      GMT 0059-2018 服务器密码机检测规范.pdf

│      GMT 0060-2018 签名验服务器检测规范.pdf

│      GMT 0061-2018 动态口令密码应用检测规范.pdf

│      GMT 0062-2018 密码产品随机数检测要求.pdf

│      GMT 0063-2018 智能密码钥匙密码应用接口检测规范.pdf

│      GMT 0064-2018 限域通信(RCC)密码检测要求.pdf

│      GMT 0101-2020 近场通信密码安全协议检测规范.pdf

│      GMT 0102-2020 密码设备应用接口符合性检测规范.pdf

│      JRT 0123.1-2018 非银行支付机构支付业务设施检测规范 第1部分:互联网支付.pdf

│      JRT 0123.2-2018 非银行支付机构支付业务设施检测规范 第2部分:预付卡发行与受理.pdf

│      JRT 0123.3-2018 非银行支付机构支付业务设施检测规范 第3部分:银行卡收单.pdf

│      JRT 0123.4-2018 非银行支付机构支付业务设施检测规范 第4部分:固定电话支付.pdf

│      JRT 0123.5-2018 非银行支付机构支付业务设施检测规范 第5部分:数字电视支付.pdf

│      JRT 0123.5-2018 非银行支付机构支付业务设施检测规范 第6部分:条码支付.pdf

│      数据中心能耗检测规范及实施细则.pdf

│      

├─密码法律类文件

│      中华人民共和国密码法.docx

│      中华人民共和国密码法.pdf

│      中华人民共和国电子商务法.docx

│      中华人民共和国电子商务法.pdf

│      中华人民共和国电子签名法.docx

│      中华人民共和国电子签名法.pdf

│      中华人民共和国网络安全法.docx

│      中华人民共和国网络安全法.pdf

│      全国人民代表大会常务委员会关于加强网络信息保护的决定.pdf

│      商用密码管理条例.docx

│      商用密码管理条例(修订草案征求意见稿).pdf

│      

├─密码管理类标准

│      GMT 0065-2019 商用密码产品生产和保障能力建设规范.pdf

│      GMT 0066-2019 商用密码产品生产和保障能力建设实施指南.pdf

│      

└─应用支撑类标准

        GBT 25062-2010 信息安全技术 鉴别与授权 基于角色的访问控制模型与管理规范.pdf

        GMT 0011-2012 可信计算 可信密码支撑平台功能与接口规范.pdf

        GMT 0019-2012 通用密码服务接口规范.pdf

        GMT 0020-2012 证书应用综合服务接口规范.pdf

        GMT 0032-2014 基于角色的授权与访问控制技术规范.pdf

        GMT 0033-2014 时间戳接口规范.pdf

        GMT 0057-2018 基于IBC技术的身份鉴别规范.pdf

        GMT 0067-2019 基于数字证书的身份鉴别接口规范.pdf

        GMT 0068-2019 开放的第三方资源授权协议框架.pdf

        GMT 0069-2019 开放的身份鉴别框架.pdf

        GMT 0087-2020 浏览器密码应用接口规范.pdf

        GMT 0089-2020 简单证书注册协议规范.pdf


商用密码应用安全性评估测评系列材料【补充 】


商用密码应用安全性评估测评系列材料【补充 】


商用密码应用安全性评估测评系列材料【补充 】


我用阿里云盘分享了「密码标准体系」,你可以不限速下载🚀

复制这段内容打开「阿里云盘」App 即可获取

提取码: ayn4

链接:https://www.aliyundrive.com/s/k6SFMXuygD9

相关推荐: 美国一农业关基企业遭勒索攻击离线,食品供应链或面临重大威胁

美国农业供应商NEW Cooperative遭勒索攻击,系统被迫离线,勒索软件团伙BlackMatter要求支付590万美元赎金; NEW Cooperative声称,旗下软件为全美40%的饲养牲畜提供粮食和饲料支持,如不能及时恢复系统将扰乱现有食品供应链; …

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年9月23日23:27:47
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   商用密码应用安全性评估测评系列材料【补充 】http://cn-sec.com/archives/554961.html

发表评论

匿名网友 填写信息