淺析密碼測評的重要性（附密碼產品和功能測評技術實施方法）
密碼技術是信息安全領域的核心技術，它可以有效解決信息的真實性、完整性和保密性問題，在網絡空間安全防護中發揮着重要的基礎支撐作用。而密碼技術的規范化有效管理對推進我國信息化進程具有十分重大的意義。
目前我國商用密碼應用還存在着諸多不廣泛、不規范、不安全的問題。不廣泛主要指大量的數據和應用系統沒有使用密碼技術進行保護；不規范是指許多企業仍然在用沒有經過測評的密碼產品或自研密碼產品，《商用密碼管理條例》有要求規定，任何單位和個人智能使用經認可的密碼產品，不得使用自研或者境外生產的密碼產品；不安全則指向目前大量的系統還在使用MD5、SHA1、RSA1024、DES等具有風險的密碼算法，使用的安全服務不規范，給信息系統帶來嚴重的安全隱患。歸根結底，還是政企單位對商用密碼技術的了解不夠，再加上行業專業密碼技術人才大量缺失，很大程度上阻礙了企業真正去了解密碼應用的需求以及規划密碼實施方案等。
因此，通過密碼測評可以有效提升我國密碼算法和密碼產品的安全隱患的發現能力，對保障我國密碼算法和密碼產品的安全性、先進性具有重要的現實意義。關於密碼測評的法律要求、流程操作我們之前都有逐篇介紹，感興趣的童鞋可以再文末點擊相關鏈接查看。今天小編針對密碼產品認證中的典型密碼功能和產品應用兩個方面的測評技術相關實施方法做了簡單的集合整理分享，希望大家對於密碼技術，對密碼測評有更深入的認識和了解。
表1、密碼產品認證：典型密碼功能測評技術
| 密碼功能 |
測評實施 |
預期結果 |
| 傳輸機密性 |
1、利用協議分析工具，分析傳輸的重要數據或鑒別信息是否為密文，數據格式（如分組長度等）是否符合預期； 2、如果信息系統以外接密碼產品的形式實現傳輸機密性，如VPN、密碼機等，參考對這些密碼產品應用的測評方法。 |
1、傳輸的重要數據和鑒別信息均為密文，數據樣式（如分組長度等）符合預期； 2、實現傳輸機密性的外接密碼產品符合相應密碼產品應用的要求。 |
| 存儲機密性 |
1、通過讀取儲存的重要數據，判斷存儲的數據是否為密文，數據格式是否符合預期； 2、如果信息系統以為接密碼產品的形式實現存儲機密性，如密碼機、加密存儲系統、安全數據庫等，參考對這些密碼產品應用的測評方法。 |
1、存儲的重要數據鈞為密文，數據格式符合預期； 2、實現存儲機密性的外接密碼產品符合相應密碼產品應用的要求。 |
| 傳輸完整性 |
1、利用協議分析工具，分析受完整性保護的數據在數據的傳輸時的數據格式（如簽名長度、MAC長度）是否符合預期； 2、如果是使用數字簽名技術進行完整性保護的，密評人員可以使用公鑰對抓取的簽名結果進行驗證； 3、如果信息系統以外接密碼產品的形式實現傳輸完整性，如VPN、密碼機等，參考對這些密碼產品應用的測評方法。 |
1、受完整性保護的數據在傳輸時的數據格式（如簽名長度、MAC長度）符合預期； 2、使用簽名技術進行完整性保護的，使用公鑰對抓取的簽名結果驗證通過； 3、實現傳輸完整性的外接密碼產品符合相應密碼產品應用的要求。 |
| 存儲完整性 |
1、通過讀取存儲的重要數據，判斷受完整性保護的數據在存儲時的數據格式（如簽名長度、MAC長度）是否符合預期； 2、如果是使用數字簽名技術進行完整性保護的，密評人員可使用公鑰對存儲的簽名結果進行驗證； 3、條件允許的情況下，密評人員可常識對存儲數據進行篡改（如修改MAC或數字簽名），驗證完整性保護措施的有效性； 4、如果信息系統以外接密碼產品的形式實現存儲完整性保護，如密碼機、智能密碼鑰匙，參考對這些密碼產品應用的測評方法。 |
1、受完整性保護的數據存在存儲時的數據格式（如簽名長度、MAC長度）符合預期； 2、使用簽名技術進行完整性保護的，使用公鑰對存儲的簽名結果驗證通過； 3、對存儲數據進行篡改，完整性保護措施能夠檢測出存儲數據的完整性受到破壞； 4、實現存儲完整性的外接密碼產品符合相應密碼產品應用的要求。 |
| 真實性 |
1、如果信息系統以外接密碼產品的形式實現對用戶、設備的真實性鑒別，如VPN、安全認證網關、智能密碼鑰匙、動態令牌等，參考對這些密碼產品應用的測評方法； 2、對於不能復用密碼產品檢測結果的，還要查看實體鑒別協議是否符合GB/T 15843中的要求，特別是對於“挑戰一響應”方式的鑒別協議，可以通過協議抓包分析，驗證每次挑戰值是否不同； 3、對於基於靜態口令的鑒別過程，抓取鑒別過程的數據包，確認鑒別信息（如口令）未以明文形式傳輸；對於采用數字簽名的鑒別過程，抓取鑒別過程的挑戰值和簽名結果，使用對應公鑰驗證簽名結果的有效性； 4、如果鑒別過程使用了數字證書，參考對證書認證系統應用的測評方法。如果鑒別未使用證書，密評人員要驗證公鑰或（對稱）密鑰與實體的綁定方式是否可靠，實際部署過程是否安全。 |
1、實現對用戶、設備的真實性鑒別的外接密碼產品符合相應密碼產品應用的要求； 2、實體鑒別協議符合GB/T 15843中的要求； 3、靜態口令的鑒別信息以非明文形式傳輸，對於使用數字簽名進行鑒別，公鑰驗證簽名結果通過，並非符合證書認證系統應用的相關要求； 4、公鑰和（對稱）密鑰與實體的綁定方式可靠，部署過程安全。 |
| 不可否認性 |
1、如果使用第三方電子認證服務，則應對密碼服務進行核查；如果信息系統中部署了證書認證系統，參考對證書認證系統應用的測評方法。 2、使用相應的公鑰對作為不可否認性證據的簽名結果進行驗證。 3、如果使用電子簽章系統，參考對電子簽章系統應用測評方法。 |
1、使用的第三方電子認證密碼服務或系統中部署的證書認證系統符合相關要求； 2、使用相應公鑰對不可否認性證據的簽名結果的驗證結果為通過； 3、使用的電子簽章系統符合電子簽章系統應用的相關標准規范要求。 |
圖表信息來自-《信息系統密碼應用測評要求》資料
表2、密碼產品認證：典型密碼產品應用測評技術
| 產品類型 |
測評實施 |
預期結果 |
| 智能IC卡/智能密碼鑰匙 |
1、進行錯誤嘗試試驗，驗證在智能IC卡或智能密碼鑰匙未使用或錯誤使用（如使用他人的介質）時，相關密碼應用過程（如鑒別）不能正常工作； 2、條件允許情況下，在模擬的 主機或抽選的主機上安裝監控軟件（如Bus Hound）。用於對智能IC卡、智能密碼鑰匙的APDU指令進行抓取和分析，確認調用指令格式和內容符合預期（如口令和密鑰是加密傳輸的）； 3、如果智能IC卡或智能密碼鑰匙存儲有數字證書，密評人員可以將數字證書導出后，對證書合規性進行檢測，具體檢測內容見對證書認證系統應用的測評； 4、驗證智能密碼鑰匙的口令長度不小於6個字符，錯誤口令登錄驗證次數不大於10次。 |
1、智能IC卡或智能密碼鑰匙未使用或錯誤使用時，相關密碼應用能夠檢測出非正常使用； 2、智能IC卡、智能密碼鑰匙調用指令格式和內容符合預期； 3、數字證書的格式和使用符合證書認證系統應用的有關要求； 4、智能密碼鑰匙的口令長度不小於6個字符，錯誤口令登錄驗證次數不大於10次。 |
| 密碼機 |
1、利用協議分析工具，抓取應用系統調用密碼機的指令報文，驗證其是否符合預期（如調用頻率是否正常、調用指令是否正確）； 2、管理員登錄密碼機查看相關配置，檢查內部存儲的密鑰是否對應合規的密碼算法，密碼計算時是否使用合規的密碼算法等； 3、管理員登錄密碼機查看日志文件，根據與密鑰管理、密碼計算相關的日志記錄，檢查是否使用合規的密碼算法等。 |
1、應用系統調用密碼機指令，次數等符合預期； 2、密碼機內部存儲的密鑰對應合規的密碼算法，使用合規的密碼算法進行密碼計算； 3、相關的日志記錄顯示使用合規的密碼算法。 |
| VPN產品和安全認證網關 |
1、利用端口掃描工具，探測IPSec VPN和SSL VPN服務端所對應的端口服務是否開啟，如IPSec VPN服務對應的UDP 500、4500端口，SSL VPN服務常用的TCP 443端口（視產品而定）； 2、利用通信協議分析工具，抓取IPSec協議IKE階段，SSL協議握手階段的數據報文，解析密碼算法或密碼套件標識是否屬於已發布為標准的商用密碼算法。IPSec協議SM4算法標識為129（由於歷史原因，在部分早期產品中該值可能為127），SM3算法標識為20，SM2算法標識為2；SSL協議中ECDHE＿SM4＿SM3套件標識為｛OxeO，Ox11｝，ECC＿SM4＿SM3套件標識為｛OxeO。 |
1、端口掃描顯示IPSec VPN和SSL VPN服務端所對應的端口服務已經開啟； 2、通過通信協議分析工具分析，確認使用的密碼算法和密碼套件標識屬於已發布為標准的商用密碼算法； 3、證書的格式和使用符合證書認證系統應用的有關要求。 |
圖表信息來自-《信息系統密碼應用測評要求》資料
科技在進步，社會在發展，密碼測評辦法不是一成不變的。在信息技術飛快發展的今天，密碼算法需要有所創新的發展，密碼技術創新在未來應用到更廣闊的商業空間時，密碼測評技術也將隨之調整。作為企業，應該學密碼、知密碼、懂密碼，密碼安全合規將會是不久將來我國網絡安全的基本要求，更是保障信息產品和服務的基本需求，密碼技術作為不可或缺的重要安全手段將不斷深入和拓展。
商用密碼產品認證證書查詢方式（網址）：http://service.scctc.org.cn/cer/cersearch/signle-c37.html