商用密码应用安全性评估白皮书_69页_1mb

商用密码应用安全性评估白皮书（2021）总结

核心内容概述

本白皮书由中国软件评测中心与多个参研单位共同编写，旨在阐述商用密码的重要性、发展现状、标准化进展、典型应用场景、存在的问题及其原因，以及商用密码应用安全性评估的必要性、流程和管理建议。白皮书强调商用密码在保障网络与信息安全、构建网络信任体系、提升国家战略安全等方面的重要作用，并提出推动密码技术自主可控、完善标准体系、优化产业生态等建议，以促进商用密码的广泛应用与健康发展。

主要观点与关键信息

1. 密码的重要性

• 密码技术是维护网络安全最有效、最可靠、最经济的技术手段，能够保障信息的机密性、可用性、来源真实性、数据完整性及行为不可否认性。
• 网络安全事件频发，如2011年用户数据泄露、2012年加密密码被破解等，凸显密码技术在信息安全保护中的关键作用。
• 我国自主研发的密码算法如ZUC、SM2、SM3、SM4、SM9等已达到国际先进水平，部分成为国际标准。

2. 商用密码概述

• 商用密码用于保护不涉及国家秘密的信息，适用于内部信息、行政事务信息、经济信息等敏感数据。
• 商用密码已广泛应用于通信、金融、教育、医疗、交通、能源等领域，为行业数字化转型提供安全保障。

3. 商用密码标准化进展

• 我国密码标准体系包括国家标准、行业标准、团体标准和企业标准，覆盖算法、产品、技术、检测、应用等多个方面。
• 截至2021年5月，我国现行密码国家标准35项，行业标准116项，部分团体标准如《区块链密码检测规范》已发布。
• 密码标准体系不断调整完善，以适应新技术和新产业的发展需求。

4. 商用密码典型应用场景

• 电信和互联网领域：商用密码用于保障数据处理、存储、共享的安全，如“商密云”系统、HTTPS、SSL证书等。
• 工业互联网领域：密码技术应用于平台基础设施、身份鉴别、数据全生命周期保护，如SM2、SM3、SM4等算法。
• 车联网领域：商用密码用于车与云、车与车、车与路、车与设备、车与网络的安全通信，包括证书管理、密钥分发、安全协议等。
• 物联网领域：密码技术用于设备认证、数据加密、密钥管理，以应对弱口令、撞库攻击等风险。
• 智慧交通领域：商用密码用于ETC系统、密钥管理、证书认证，保障数据传输和系统身份的真实性。
• 电子政务领域：商用密码用于政务外网安全、身份认证、数据加密和传输安全，如SM2算法、PKI体系等。

5. 商用密码应用存在的问题

• 密码应用领域不够广泛。
• 密码应用方式不够规范。
• 密码应用服务不够安全。
• 密码应用需求难以契合实际应用场景。

6. 问题原因分析

• 商用密码管理体制仍需健全。
• 密码标准体系尚待完善。
• 密码产业支撑力量不足。
• 密码技术缺乏自主可控性。

7. 商用密码应用安全性评估

• 密评是保障密码应用合规性、正确性、有效性的关键手段。
• 密评内容包括要点、通用测评要求、单元测评要求、整体测评要求及风险分析和评价。
• 密评工作流程包括准备、实施、报告、整改等阶段。

8. 商用密码应用管理建议

• 建立健全商用密码管理机制。
• 持续完善密码标准支撑体系。
• 优化商用密码产业生态环境。
• 提升密码技术自主创新能力。
• 培养密码行业专业人才队伍。

9. 商用密码发展展望

• 商用密码将得到广泛应用。
• 密码产业将实现强势发展。
• 标准体系日益完善。
• 科技创新能力显著提升。
• 密评工作将得到有力推进。

重要数据与趋势

• 密码产业规模：2020年突破466亿元，同比增长33.14%。
• 密码产品认证：截至2021年4月，已有2447款密码产品获得认证。
• 应用场景覆盖：在电子政务中，23个省级和31个重点城市已明确政务数据统筹管理机构；在金融领域，超过80家机构应用国产密码技术；在智慧交通中，ETC车道达6.6万条，客车使用率超70%，货车使用率超56%。

结论

商用密码在保障信息安全、构建信任体系、推动数字化转型方面发挥着不可替代的作用。随着技术发展和行业需求变化，密码标准体系、产业生态和评估机制的完善成为推动商用密码广泛应用和高质量发展的关键。白皮书呼吁加强密码管理机制建设，提升自主创新能力，优化产业生态环境，以实现商用密码在各领域的安全、可信、可控应用。