密碼是什么？

僅僅是一串符號(hào)？

它可不單單是咱們平時(shí)電腦、手機(jī)上用的密碼

法律上的密碼

說(shuō)的是采用特定變換的方法

對(duì)信息等進(jìn)行加密保護(hù)、安全認(rèn)證的

技術(shù)、產(chǎn)品和服務(wù)

也就是說(shuō)

密碼法所說(shuō)的密碼

具有加密保護(hù)和安全認(rèn)證兩類功能

而密碼應(yīng)用的合規(guī)性、有效性、正確性評(píng)估

成為網(wǎng)絡(luò)安全保衛(wèi)戰(zhàn)中舉足輕重的防護(hù)措施

“沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全”，密碼是國(guó)家重要戰(zhàn)略資源，是保障網(wǎng)絡(luò)與信息安全的核心技術(shù)和基礎(chǔ)支持，是保護(hù)國(guó)家安全的戰(zhàn)略性資源。密碼技術(shù)在身份認(rèn)證、數(shù)據(jù)傳輸、數(shù)據(jù)完整性保護(hù)和抗抵賴等方面都起到關(guān)鍵作用。

《中華人民共和國(guó)密碼法》第二十七條：法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開展商用密碼應(yīng)用安全性評(píng)估。商用密碼應(yīng)用安全性評(píng)估應(yīng)當(dāng)與關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測(cè)評(píng)估、網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)制度相銜接，避免重復(fù)評(píng)估、測(cè)評(píng)。

在《商用密碼應(yīng)用安全性評(píng)估管理辦法（試行）》中指出，“密評(píng)”的面向?qū)ο蟀ɑA(chǔ)信息網(wǎng)絡(luò)、涉及國(guó)計(jì)民生和基礎(chǔ)信息資源的重要信息系統(tǒng)、重要工業(yè)控制系統(tǒng)、面向社會(huì)服務(wù)的政務(wù)信息系統(tǒng)，以及關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)及以上的信息系統(tǒng)。在《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例（征求意見稿）》中也明確，第三級(jí)以上網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)在網(wǎng)絡(luò)規(guī)劃、建設(shè)和運(yùn)行階段，按照密碼應(yīng)用安全性評(píng)估管理辦法和相關(guān)標(biāo)準(zhǔn)，委托密碼應(yīng)用安全性測(cè)評(píng)機(jī)構(gòu)開展密碼應(yīng)用安全性評(píng)估，并定期開展商用密碼應(yīng)用安全性評(píng)估工作。

天融信始終以捍衛(wèi)國(guó)家網(wǎng)絡(luò)空間安全為使命。2000年5月，天融信研制并發(fā)布了SJW11網(wǎng)絡(luò)加密機(jī)，以高標(biāo)準(zhǔn)通過(guò)國(guó)家主管部門的技術(shù)鑒定，成為國(guó)內(nèi)首批商用密碼產(chǎn)品。多年來(lái)，天融信在商用密碼領(lǐng)域不斷開拓，在商用密碼產(chǎn)品領(lǐng)域積極布局，響應(yīng)國(guó)密局推廣密碼應(yīng)用的工作，獲得包含省部級(jí)科技進(jìn)步一等獎(jiǎng)在內(nèi)的多個(gè)密碼類榮譽(yù)獎(jiǎng)項(xiàng)。并陸續(xù)推出服務(wù)器密碼機(jī)、VPN網(wǎng)絡(luò)加密機(jī)、身份認(rèn)證網(wǎng)關(guān)、簽名驗(yàn)簽服務(wù)器、文檔加密系統(tǒng)等一系列商用密碼產(chǎn)品和配套方案，持續(xù)推進(jìn)信息系統(tǒng)安全建設(shè)工作。

綜合考慮建設(shè)成本、易用性、安全性等設(shè)計(jì)原則，天融信結(jié)合密評(píng)工作規(guī)劃、建設(shè)等階段的工作重點(diǎn)，推出密評(píng)基礎(chǔ)方案。方案采用VPN網(wǎng)絡(luò)加密機(jī)、服務(wù)器密碼機(jī)、簽名驗(yàn)簽服務(wù)器三款密評(píng)核心產(chǎn)品，解決了GB/T39786《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》中網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全等重要問(wèn)題，滿足密評(píng)測(cè)評(píng)通過(guò)的基礎(chǔ)要求。

網(wǎng)絡(luò)和通信

通過(guò)部署VPN網(wǎng)絡(luò)加密機(jī)建立安全傳輸通道，對(duì)機(jī)房中所有應(yīng)用均通過(guò)安全傳輸通道來(lái)訪問(wèn)，同時(shí)通過(guò)國(guó)密SSL和IPSec協(xié)議建立安全傳輸通道，對(duì)系統(tǒng)所有跨網(wǎng)傳輸數(shù)據(jù)實(shí)現(xiàn)網(wǎng)絡(luò)傳輸?shù)臋C(jī)密性、完整性和身份鑒別。

設(shè)備和計(jì)算安全

1、身份鑒別：運(yùn)維管理員在登錄堡壘機(jī)時(shí)通過(guò)采用數(shù)字證書進(jìn)行強(qiáng)身份認(rèn)證，簽名驗(yàn)簽服務(wù)器解析數(shù)字證書、驗(yàn)證簽名和證書有效性，保證人員身份的唯一性。

2、數(shù)據(jù)傳輸保密性和完整性保護(hù)：運(yùn)維管理員通過(guò)安全瀏覽器與密碼服務(wù)層VPN網(wǎng)絡(luò)加密機(jī)為堡壘機(jī)建立安全通道，SSL協(xié)議中使用密碼算法套件為：ECC_SM4_SM3，通過(guò)SSL技術(shù)實(shí)現(xiàn)通道數(shù)據(jù)的完整性與保密性。

3、日志記錄完整性保護(hù)：通過(guò)調(diào)用服務(wù)器密碼機(jī)的SM3/HMAC算法，采用SM3雜湊算法計(jì)算其HMAC值，對(duì)運(yùn)維管理應(yīng)用相關(guān)產(chǎn)品的日志記錄進(jìn)行完整性保護(hù)。

應(yīng)用和數(shù)據(jù)安全

1、身份鑒別：用戶登錄業(yè)務(wù)系統(tǒng)時(shí)將采用“用戶名+數(shù)字證書”，進(jìn)行身份驗(yàn)證，實(shí)現(xiàn)雙因素身份鑒別，滿足國(guó)密算法要求。

2、數(shù)據(jù)傳輸機(jī)密性和完整性：系統(tǒng)通過(guò)VPN網(wǎng)絡(luò)加密機(jī)建立安全傳輸通道，對(duì)機(jī)房中所有應(yīng)用均通過(guò)安全傳輸通道來(lái)訪問(wèn)，確保通信雙方數(shù)據(jù)的機(jī)密性、完整性及身份的真實(shí)性。前置服務(wù)器調(diào)用服務(wù)器密碼機(jī)的SM4算法和SM3算法實(shí)現(xiàn)機(jī)密性、完整性保護(hù)。

3、數(shù)據(jù)存儲(chǔ)機(jī)密性及完整性：業(yè)務(wù)系統(tǒng)在對(duì)重要數(shù)據(jù)進(jìn)行存儲(chǔ)時(shí)，對(duì)系統(tǒng)業(yè)務(wù)數(shù)據(jù)的相關(guān)關(guān)鍵信息進(jìn)行SM3/HMAC運(yùn)算來(lái)保證數(shù)據(jù)的完整性，同時(shí)調(diào)用服務(wù)器密碼機(jī)SM4保證數(shù)據(jù)存儲(chǔ)的機(jī)密性。在業(yè)務(wù)系統(tǒng)中重要數(shù)據(jù)包括各業(yè)務(wù)系統(tǒng)的關(guān)鍵數(shù)據(jù)、用戶信息數(shù)據(jù)、審計(jì)數(shù)據(jù)、應(yīng)用配置數(shù)據(jù)等。

天融信對(duì)密碼應(yīng)用安全性評(píng)估建設(shè)的建議

● 天融信建議客戶分期規(guī)劃，集約建設(shè)，不斷優(yōu)化和提升，根據(jù)信息系統(tǒng)實(shí)際出發(fā)， 采用三同步原則，滿足等保安全要求。

● 建議客戶密評(píng)建設(shè)時(shí)要選取合規(guī)的密碼產(chǎn)品，天融信商用密碼產(chǎn)品均符合國(guó)家密碼管理局標(biāo)準(zhǔn)，具有《商用密碼產(chǎn)品認(rèn)證證書》。

● 建議客戶在密評(píng)建設(shè)過(guò)程中要從管理制度與技術(shù)要求全面考慮，天融信可為客戶提供有針對(duì)性的建設(shè)方案、配套實(shí)施、應(yīng)急響應(yīng)、管理制度和運(yùn)維管理服務(wù)等整套體系。

日前，在第五屆關(guān)鍵信息基礎(chǔ)設(shè)施自主安全創(chuàng)新論壇上，天融信憑借26年來(lái)在網(wǎng)信領(lǐng)域持續(xù)創(chuàng)新與優(yōu)異實(shí)踐，榮獲商用密碼領(lǐng)域具有突出創(chuàng)新能力、取得顯著創(chuàng)新成果、能夠代表創(chuàng)新水平的“網(wǎng)信自主創(chuàng)新尖鋒企業(yè)”獎(jiǎng)項(xiàng)。此外，天融信還連續(xù)六年主辦全國(guó)高校密碼數(shù)學(xué)挑戰(zhàn)賽，持續(xù)挖掘和培養(yǎng)密碼人才，充分展現(xiàn)了天融信在商用密碼領(lǐng)域的專業(yè)優(yōu)勢(shì)和創(chuàng)新能力。