商用密码技术在网络安全中的应用理论与实践

（一）密码学理论

密码学是一门研究保护信息安全的科学，其主要目的是保持明文的秘密性，以防止攻击者得知明文内容，从而实现信息的保密性、完整性及抗抵赖性。一般情况下，密码学主要由密码编码与密码分析两部分组成：密码编码学：研究信息变化处理，旨在保护信息安全性。密码分析学：通过密文信息的获取明确相关明文信息，是在没有密钥的情况下，识别获取明文的科学。

明文是指需要利用密码对其进行保护的信息，密文是利用密码技术对明文进行深化处理的 “结果”，一般称为加密消息。将明文转换为密文的过程称为加密，将密文转化为明文的过程称为解密。加密过程所运用的系列化操作规则被称为加密算法，解密过程中运用的系列化操作原则称为解密算法。通常，两种算法的实际运用往往需在密钥控制下进行，加密与解密算法分别对应加密密钥与解密密钥。

（二）商用密码核心技术

商用密码是指利用特定的变换方式，对非国家秘密的相关数据信息进行加密保护、安全认证的技术以及相关产品与服务。商用密码技术的核心主要包括密码算法、密码协议与密钥：

2.1密码算法：是商用密码技术的基石，主要有杂凑算法、对称密码算法及公钥密码算法三类。我国自主研发的 SM 系列算法（如 SM2、SM3、SM4、ZUC 算法等）在商用密码中占据重要地位，其中 SM2 和 SM9 属于公钥密码算法，SM3 属于杂凑算法，SM4 为分组密码算法，ZUC 为序列密码算法，这些算法在维护我国网络安全层面发挥着重要效用。

2.2密码协议：主要规定了数据信息加密与解密的详细步骤与相关规则，为数据信息的交换互通提供了安全保障。密码协议的设计与实施直接影响密码系统的安全性与可靠性。

2.3密钥：是一串用于控制密码运算过程的随机数字，其安全性与长度对密码系统的安全保密强度有着至关重要的影响。密钥的复杂程度与长度直接决定了破译的难度，密钥复杂程度越高，破译难度越大。相关人员需坚持秘密性原则对密钥进行妥善保存，保障密钥空间的庞大性，切实防止密钥穷尽。

针对商用密码技术的运用，国家制定了明确且严格的法律规定与保护措施，任何个人与单位均承担着保护商用密码技术秘密的义务。

商用密码技术与人们日常生产生活中网络信息安全联系十分密切。相关资料显示，80% 左右的网络攻击都是以密码为对象，每天有近百个企业账户会遭受黑客的攻击。在数字生活场景持续创新丰富的今天，重视商用密码技术的研究与运用，强化网络信息安全保护，能够为社会大众网络生活的安全性保驾护航。一般来说，商用密码的应用领域十分广泛，主要用于对不涉及国家秘密内容但具备一定程度敏感性的内部信息、经济信息、行政事务信息等进行加密保护。具体而言，电信、电力、交通、能源等国家关键信息基础设施，生活中常用的社保系统、电子邮件等，都是商用密码技术的主要应用场景。

（一）行业应用领域

商用密码技术与产品已在通信、金融、教育、医疗健康、交通、能源、国防工业等领域实现了广泛应用。在物联网应用场景中，传统身份认证方式往往以普通的口令认证为主，密钥强度较低，存在较为严重的安全隐患。当前，诸多专业安全厂商提供以商用密码技术为基础的物联网安全防护方案，包含物联网运营平台、应用系统、设备芯片生产系统以及终端应用等层面，在商用密码技术支撑下，实现了密钥安全分发、身份认证及数据信息加密等安全服务。

（二）电信与互联网领域

商用密码技术在该领域实现了与云存储技术的有机融合，并采用属性基加密与抗密钥泄露技术，切实保障了数据信息存储与共享共用环节的安全性。在电信与互联网领域，系统在日常运行过程中所采用的访问局域网往往通过 VPN 建立通信通道，采用用户名 + PIN+UKey 方式进行身份鉴别，实现了系统与数据信息安全的有效防护。

（三）教育行业领域

教育电子身份认证服务体系是商用密码技术在该领域运用的重要外显。借助 SM2 算法，对教育 CA 系统进行升级改造，优化教育 CA 系统软硬件运行的基础环境，建设相关支撑体系，推动教育领域实现电子身份认证，这均依靠商用密码技术作为安全防护支撑。

（四）电子政务领域

以 PKI 技术为基础的电子认证防护，对网络环境中传输的相关数据信息进行解密、加密、数字签名及数字认证，采用 SM9 算法和数字签名、数据加密技术实现强身份认证机制和邮件内容加密等，均是商用密码技术运用的重要外显，为电子政务领域提供了安全可靠的密码服务。

（一）数据安全保护

保护数据信息安全是商用密码技术在网络安全中的主要运用场景，其运用能够通过加密传输、访问控制等多元化手段，有效保护数据的机密性和完整性，确保数据信息在传输、存储过程中不被非法获取、篡改或泄露。

具体而言，在数据安全保护过程中，可以利用商用密码技术，通过加密、解密、数字签名、密码认证及密钥管理等功能，保障数据信息在存储与利用过程中始终处于安全、完整的状态。对于敏感的数据信息，可以利用特定密钥对信息安全进行防护，敏感信息的调取只能通过特定密钥的使用，借此有效防止敏感数据信息的泄露以及被未授权的访问查看。

在数据信息安全保护过程中，可以利用对称加密技术，利用相同的密钥对信息进行加密与解密处理，借此实现海量数据信息的有效安全管理；针对有着特殊保密要求的数据信息，则可以利用非对称加密法，即利用不相同的一对密钥，一个用于加密信息，另一个用于解密信息，借此强化特殊信息的安全防护。

为保障数据信息的完整性，防止数据信息在生成、传输、存储和使用过程中被未经授权地修改或破坏，可以利用商用密码技术中的哈希函数、数字签名等工具，对数据信息的真实性与完整性进行验证，确保数据信息在全生命周期中均具备较高的可靠性与准确性。

在金融应用场景中，为实现金融数据信息安全性的有效保护，针对用户身份信息、财产信息等关乎用户财产安全与隐私保护的重要数据信息，可以利用商用密码技术，通过身份鉴别、交易签名等技术手段，通过数字证书与私钥的使用，对数据信息文档进行签名，信息接收方可以使用与私钥相对应的公钥对签名的有效性进行验证，以确认数据信息是否被篡改以及数据文档发送人员的信息。常见的电子签名算法有 RSA、DSA、ECDSA 等，能够切实保障金融服务的目标对象确实是用户本身及其做出的交易是用户自身切实需求，借此防止不法分子盗取金融数据，对金融交易的完整性产生破坏。也可以利用商用密码技术对用户的重要数据信息及业务指令进行保护，通过加密处理关键数据与指令，切实保护数据安全，防止数据信息被篡改盗取。

（二）身份认证与访问控制

网络系统中，身份认证与访问控制是十分必要且重要的，其能够切实保障网络的安全性并防止未经授权的访问与数据泄露行为出现，如在商用密码技术使用过程中，需进一步强化身份认证与访问控制，通过数字证书、公钥基础设施（PKI）等方式，为用户提供安全可靠的身份认证服务。

使用用户名与密码进行身份验证是商用密码身份认证技术中的常见手段，在对身份认证进行控制时，可以利用 ACL 访问控制列表，将用户与特定资源相匹配。在 ACL 机制运用过程中，还可以对不同用户访问级别进行限制，如设置 “制度不可修改” 的访问权限。

在商用密码技术实践运用过程中，也可以利用 RBAC 这一基于角色的访问控制技术，实现身份认证与访问控制的这一目标。RBAC 技术在实际运用过程中，允许系统管理人员将用户进行不同角色的划分，并结合用户实际角色，对用户数据信息的访问权限进行限制与约束，以实现对用户身份认证与访问权限的有效管理。

除此之外，结合自身实际需求，也可以引用商用密码技术中的高级技术手段，进一步强化身份认证与访问控制管理，利用 SSO 单点登录技术，让用户通过一个入口点登录至不同应用程序中，无需重复退出、登录步骤登录到不同程序中，进而切实提升网络安全性与用户方便性。

（三）通信安全保障

商用密码技术存在多元化方式保障通信安全。在商用密码技术实际应用过程中，可以通过加密解密技术对通信内容进行安全防护。在通信过程中，发送方可以利用加密技术算法对通信内容进行加密处理，接收方未获得通讯明文，则需利用相同的密钥进行信息解密处理，借此保障通信信息传输过程中不被未授权人员获取与篡改，进一步保障信息内容的机密性与完整性。

在互联网通信中，数据信息往往需要横跨多个网络节点进行传输，为防止通信信息被篡改，可以使用商用密码技术对数据进行加密，通过使用以 SSL/TLS 协议为基础的 HTTPS 协议，借助非对称加密技术，进一步强化客户端和服务器之间的通信信息安全保障。

（四）供应链与物联网安全

商用密码技术在供应链与物联网安全层面也有着重要防护作用，在这一层面商用密码技术的运用，可以依托《商用密码应用与安全性评估》中的 KMC（密钥管理中心）与 SKMC（分中心）架构，通过分层控制方式，实现供应链不同层级的密钥分发。核心企业可以通过智能 IC 卡离线分发主密钥至一级供应商 SKMC，再向二级供应商分发密钥，以切实保障数据信息的安全性。

针对物联网的安全防护，可以利用商用密码技术，通过轻量化密码协议设计、安全加固不同端点的数据传输等方式，构建杂凑算法数据模型，对数据安全异常情况进行动态化监管，借此进一步提升网络安全性。

（五）企业网络与数据安全

随着产业数字化与现代化进程持续深化，工业产业对网络数据安全提出了更高要求。在工业产业领域，商用密码技术的运用，能够实现对企业整体业务流程中相关数据信息的规范化、全生命周期管理。

具体而言，可以借助商用密码技术，实现用户身份的有效鉴别。通过身份认证网关与各应用系统进行集成，实现产业内部人员访问系统时的权限管理与身份鉴定。将商用密码技术运用至工业产业各服务与车间中的相关节点，并与密码平台用户身份认证集成，进而实现对访问人员身份的有效认证，控制人员访问权限，确保只有身份鉴定通过的人员才能获取企业内部信息资源。

在身份识别层面，还可以运用商用密码技术，为工业产业提供 PKI/CA 服务，为工业终端、用户及服务器等实体提供以商用密码技术为支持的身份数字证书标识及证书签发、管理等服务。还可以借助商用密码技术，保障工业企业访问控制安全：一是在云端服务层面，设置云平台安全接入套件，为云端层面不同区域之间的业务交互，设置访问权限，在云端仅允许证书列表内的设备进行数据信息的交互共享，借此保障云端服务区域与企业数据分析平台的运行与访问安全，在保障数据信息安全的同时，实现云端数据信息资源的有效运用。二是以 PKI/CA 服务为技术，为系统终端用户、运维用户、管理员及业务用户等人员，提供以商用密码技术为支撑的访问权限控制与限制功能，限定只有证书列表内的用户才能对相应系统资源进行访问，进而保障工业产业系统运行的安全性与稳定性。

原文始发于微信公众号（信息新安全）：商用密码技术在网络安全中的应用理论与实践