2021年商用密码应用安全性评估白皮书_69页_1mb

报告摘要

商用密码应用安全性评估白皮书（2021）总结

核心内容概述

《商用密码应用安全性评估白皮书（2021）》由中国软件评测中心联合多个单位编写，旨在加强商用密码管理，保障信息安全，提升我国密码技术应用水平。白皮书围绕密码的重要性、商用密码概述、标准化进展、典型应用场景、应用中存在的问题、原因分析、安全性评估内容、管理建议及发展展望等方面进行了系统阐述，为商用密码在各行业的应用提供了指导与参考。

主要观点与关键信息

密码的重要性

密码技术是保障网络信息安全的核心手段，能有效实现信息的机密性、完整性、真实性和不可否认性。
通过密码技术，可以防止数据泄露、篡改和非法访问，是构建安全信任体系的关键。
我国自主设计的ZUC、SM2、SM3、SM4、SM9等商用密码算法已达到国际先进水平，并成为国际标准。

商用密码概述

概念：商用密码用于对不涉及国家秘密的信息进行加密保护或安全认证，适用于内部信息、行政事务信息、经济信息等。
发展现状：
- 自2013年起，商用密码在科技创新、产业发展和应用推广方面取得显著进展。
- 2020年，商用密码产业规模突破466亿元，同比增长超33%。
- 截至2021年5月，已有2447款密码产品获得认证证书，密码产品体系初步形成。
研究热点：
- 包括硬件加密、软件加密、白盒密码、量子密码等。
- 硬件加密具有更高的安全性，适用于多个行业。
- 量子密码利用量子力学原理，具有抗计算攻击的优势。

商用密码标准化进展

密码标准体系：
- 国家建立并不断完善商用密码标准体系，涵盖国家标准、行业标准、团体标准、企业标准。
- 标准体系包括基础类、应用类、检测类、管理类标准。
密码标准成果：
- 截至2021年，现行密码国家标准35项，即将实施1项。
- 现行密码行业标准116项，覆盖密码算法、产品、技术、检测、应用等多个方面。
- 团体标准如《区块链密码检测规范》等已逐步推出，支持新型技术发展。

典型应用场景

电信和互联网领域：
- 商用密码用于数据存储、传输、共享的安全保障，如云存储系统、身份认证、HTTPS协议等。
- 中国电信推出“商密云”理念，实现数据安全处理和存储。
工业互联网领域：
- 密码技术支撑平台建设、身份鉴别、数据全生命周期保护。
- 应用SM2、SM3等算法，提升边缘设备接入安全性。
车联网领域：
- 支撑车与云、车与车、车与路、车与设备、车与网络的通信安全。
- 需要密钥管理、证书管理、安全协议等技术保障通信安全。
物联网领域：
- 用于设备认证、数据传输加密、数据签名等。
- 支持SM2、SM3、SM4等算法，以及SM9标识密码算法。
智慧交通领域：
- 应用于ETC系统、电子证照系统等。
- 实现密钥分发、交易通信、证书认证等安全功能。
电子政务领域：
- 政务外网采用商用密码技术保障身份认证、数据传输安全。
- 政务CA支持SM2等算法，实现自主可控的密码认证体系。

存在的问题

商用密码应用领域不够广泛。
应用方式不够规范。
应用服务不够安全。
应用需求难以契合实际场景。

问题原因分析

密码管理体制尚不健全。
标准体系仍需完善。
产业支撑力量不足。
技术缺乏自主可控性。

商用密码应用安全性评估（密评）

密评是保障商用密码应用合规、正确、有效的重要手段。
密评内容包括密评要点、通用测评要求、单元测评要求、整体测评要求、风险分析和评价。
密评流程包括评估准备、评估实施、评估报告、评估整改等阶段。

管理建议

建立健全商用密码管理机制。
持续完善密码标准支撑体系。
优化商用密码产业生态环境。
提升密码技术自主创新能力。
培养密码行业专业人才。

发展展望

商用密码将在各领域得到更广泛的应用。
密码产业将实现强势发展。
标准体系将日益完善。
科技创新能力将显著提升。
密评工作将得到有力推进。

总结

商用密码在保障网络安全、数据安全、身份认证等方面发挥着重要作用，是构建可信网络环境的关键技术。随着《密码法》的实施，商用密码的标准化、规范化和安全性评估工作不断推进，为我国网络安全和数字化发展提供了坚实基础。未来，商用密码将在更多领域得到应用，推动密码技术的自主创新与产业发展，助力我国网络安全与信息化建设的高质量发展。

展开完整摘要