商用密码应用安全性评估FAQ（第四版）_64页_1mb

商用密码应用安全性评估（第四版）总结

核心内容概述

《商用密码应用安全性评估》第四版是对商用密码应用安全性评估工作中常见问题的解答与整理，旨在帮助评估人员更好地理解和执行相关标准。文档内容涵盖通用类、技术类、管理类、整体测评类、量化评估类、风险判定类和特殊场景类七大类，内容全面，适用于信息系统密码应用的合规性判定、测评对象识别、风险分析、量化评估等场景。

---

主要观点与关键信息

一、通用类

1. 信息系统密码应用等级确定

   • 信息系统密码应用等级通常与网络安全等级保护定级一致。
   • 若未完成定级备案，优先按拟定等级进行评估，但需确保与后期备案等级一致。
   • 对于高安全需求或特殊要求的信息系统，可采用高于等保定级的密码应用等级。

2. 商用密码产品模块等级判定

   • 对于未标注密码模块安全等级的密码产品，需根据产品换证情况判断。
   • 2020年换证产品，若未标注等级，需根据原型号证书进行判定。
   • 新发认证证书产品，需根据《商用密码产品认证目录》进行判定。
   • 2025年7月1日后，商用密码产品认证证书必须由商用密码检测认证中心颁发。

3. 密码产品合规性与密钥安全判定

   • 密码产品的合规性需与密码应用方案一致，且需满足相应等级的密码模块安全要求。
   • 若系统无密码应用方案或密钥管理机制不一致，需分析其密钥体系设计是否合理。
   • 密钥管理需考虑其存储、备份、归档的安全性，且需符合产品配套的安全策略文档。

4. 代码实现数据机密性与完整性判定

   • 自研软件实现密码功能时，若无法提供安全性证明，视为“不符合”。
   • 使用第三方开源密码库时，若其无安全问题且使用正确，可酌情判定为“部分符合”。

5. 组合密码算法的量化评估

   • 组合算法中，以安全强度最高的算法作为判定依据。
   • 需结合密钥管理、算法实现正确性进行综合分析。

6. 分期改造系统的测评

   • 测评范围与系统是否分期改造无关，应根据定级范围和密码应用需求选取所有适用测评指标。

7. 已有密码应用方案的注意事项

   • 实际建设情况与方案不一致时，需核查并依据实际情况进行判定。
   • 密码应用方案需作为参考，但最终以实际测评结果为准。

8. 自建CA签发数字证书合规性

   • 自建CA签发证书无需《电子认证服务使用密码许可证》。
   • 自建CA所使用的密码产品需具有商用密码产品认证证书，且安全等级需与信息系统一致。

9. 无改造和管理权限接口的测评

   • 即使无权限，也不能将该接口判定为“不适用”。
   • 需结合实际安全控制措施进行判定，必要时采用非关键证据。

---

二、密码应用技术类

（一）物理和环境安全

10. 测评对象识别

• 测评对象为信息系统所在物理机房的电子门禁系统和视频监控系统。
• 若系统部署在非本单位管辖的机房，需复用其密评报告或现场取证。

11. 电子门禁数据存储完整性测评

• 对于符合GM/T0036标准的门禁系统，需核查其是否采用密码技术进行数据完整性保护。
• 需提供相关证据，如检测报告和实现说明。

（二）网络和通信安全

12. 测评对象识别与确定

• 测评对象为跨网络访问的通信信道，如互联网、政务外网、企业专网等。
• 举例说明了不同通信主体和网络环境下的测评对象选取。

13. 身份鉴别指标

• 单向身份鉴别可判定为“部分符合”，但需注意客户端的密码算法实现风险。
• 双向身份鉴别需确保客户端具备合规认证，否则判定为“不符合”。

14. 安全接入认证与身份鉴别的区别

• “身份鉴别”适用于跨网络通信前的实体身份验证。
• “安全接入认证”适用于设备物理接入前的身份验证。

（三）设备和计算安全

15. 测评对象识别

• 测评对象包括通用服务器、数据库系统、堡垒机、整机类密码产品等。
• 未使用密码功能的网络设备不作为测评对象。

16. 测评对象选取粒度

• 对于通用服务器，以相同软硬件配置为粒度。
• 对于整机类密码产品，以相同认证证书编号为粒度。

17. 设备和计算安全层面的身份鉴别

• 若设备仅支持本地运维，可判定“远程管理通道安全”为不适用。
• 若未采用密码技术进行身份鉴别，则判定为“不符合”。

18. 远程管理通道安全测评要点

• 避免与网络和通信安全层面重复测评。
• 测评内容包括接入内网后的管理通道。

19. 合规密码产品判定

• 对于安全等级二级及以上产品，可判定为“符合”。
• 对于安全等级一级产品，需结合检测证书进行判定。

（四）应用和数据安全

20. 测评对象识别

• 测评对象包括关键业务应用和重要数据。
• 关键数据包括鉴别数据、重要业务数据、个人敏感信息等。

21. 第三方身份认证系统测评

• 已通过密评的第三方系统可复用其测评结果。
• 未通过密评的第三方系统需进行延伸测评。

22. 数据存储机密性与完整性保护

• 对于未加密但整体加密实现“无感”保护的情况，需重点关注加密过程的安全性。
• 生产数据与备份数据需分别测评，若数据一致性未达标，需分别处理。

23. 存储机密性问题

• 未对数据内容加密而采用整体加密方式时，需关注加密算法的安全性。
• 需核查加密实现是否符合标准要求。

---

三、密码应用管理类

24. 访问控制信息的含义

• 访问控制信息包括身份鉴别、权限管理、操作审计等。
• 需结合实际应用情况判断其是否适用。

25. 跨网络调用密码资源测评

• 需结合《信息系统密码应用高风险判定指引》进行风险判定。
• 需核查跨网络通信的安全性。

---

四、整体测评类

26. 测评对象间的弥补场景

• 测评对象之间可进行弥补，但需满足特定条件。
• 例如，若测评对象A在某些方面优于B，可酌情弥补。

---

五、量化评估类

27. 密码使用有效性D项判定

• 若使用了安全强度不足的算法，需依据《量化评估规则》进行判定。
• 举例说明了不同算法的量化评估标准。

---

六、风险判定类

28. 有缓解措施的高风险判定

• 缓解措施不影响风险等级和测评结论，但可作为风险缓解依据。
• 需结合《高风险判定指引》进行判定。

29. 应用层身份鉴别与网络层高风险缓解

• 应用层身份鉴别不能缓解网络层身份鉴别的高风险。
• 需注意区分两者在测评中的作用。

30. 高风险适用性

• 需结合系统实际使用情况，判断是否适用“适用时”要求。

31. 使用高风险算法的合规判定

• 若非高风险指标使用了高风险算法，需判定为“不符合”。
• 需结合密码使用场景和算法强度进行综合分析。

---

七、特殊场景类

32. 云平台测评责任与范围

• 云平台若已通过密评，其测评结论可被云上应用复用。
• 云平台测评需与云上应用测评相结合。

33. 云平台与云上应用的测评方式

• 云平台和云上应用的测评方式不同，但测评结论可复用。
• 若云平台未复评，需重新评估其安全性。

34. 面向公众等网站的测评

• 需考虑其密码应用方案和系统安全需求。
• 例如，部分网站可能未部署密码产品，需结合实际情况进行判定。

35. 特殊系统的测评对象选取

• 对于纯网络系统，需考虑网络管理相关应用和重要数据。
• 用户面通道可不作为测评对象。

36. 密码应用成熟度极低系统的测评

• 对于未部署密码产品或密码应用成熟度极低的系统，需考虑其管理措施和风险缓解。
• 若无密码应用方案，其密码应用等级至少为第三级。

37. 特定行业或特殊需求系统的测评

• 若行业标准与GB/T39786-2021不一致，需结合行业标准进行测评。
• 需确定测评指标、量化评估和风险判定的依据。

---

总结

本文件为商用密码应用安全性评估提供了全面的指导，涵盖从通用要求到特殊场景的多个方面。其核心在于：

• 明确密码应用等级与网络安全等级保护等级的对应关系；
• 指导密码产品的合规性、密钥管理、数据机密性与完整性保护的判定；
• 强调对第三方系统、自建CA、云平台、特殊场景的测评注意事项；
• 提供量化评估与风险判定的规则和方法；
• 强调测评对象识别、测评粒度、避免重复测评等技术要点。

整体内容结构清晰，适用于信息系统建设、运行及密评机构的测评工作。