商用密码基础知识与应用
2018精选版商用密码基础知识-精心整理
努力
一、基本概念
从功能上看，密码技术主要包括加密保护技术和安 全认证技术。 从内容上看，密码技术主要包括密码算法、密钥管 理和密码协议。 密码基础算法包括：
努力
序列算法 分组算法 公钥算法 杂凑算法 其他
一、基本概念
密码功能产品包括：
安全芯片类 密码模块类 密码整机类 其他
努力
密码应用程序接口包括：
对称密码服务 公钥密码服务器 其他
一、基本概念
通用密码应用包括：
安全电子邮件系统 电子印章系统 安全公文传输 桌面安全防护 权限管理系统 可信时间戳系统 其他
努力
一、基本概念
商用密码产品按功能分类：
密码算法类 数据加解密类 认证鉴别类 证书管理类 密钥管理类 密码防伪类 综合类
努力
二、专业术语
密码技术中存在多种密码协议。如身份认证协议、 密钥协商协议、电子支付协议等。 安全认证技术包括：数字签名、消息认证码、身份 认证协议等。其基本思想是：合法的人都有各自的 秘密信息，用这个秘密信息对功能开信息进行处理， 得到相应的印章，用它来证明公开信息的真实性。 而不掌握相应秘密信息的非法用户无法伪造印章。
努力
二、专业术语
国产密码算法简介：
SM2算法：椭圆曲线公钥密码算法，密钥长度256比特。 2010.12发布。该算法不仅提供加密功能，还提供数字签 名和密钥协商功能，可方便服务于电子邮件、电子转账、 电子商务及办公自动化系统。已进入补篇项目国际标准 草案阶段。 SM3算法：商用密码杂凑算法，密钥长度256比特， 2010年公布。 SM4算法：分组密码算法，分组长度128比特，密钥长度 128比特。2006年1月公布，适用于无线局域网产品。已 经进入最终国际标准草案FDIS阶段。 SM9算法：基于身份标识的公钥密码算法。该算法的 ISO/IEC 14888-3进入补篇项目国际标准草案阶段。 ZUC算法：序列密码祖冲之算法（已作为国际4G通信加 密标准）。
商用密码算法应用场景
商用密码算法应用场景
【最新版】
目录
1.商用密码算法概述
2.商用密码算法的应用场景
2.1 电力行业
2.2 云计算场景
2.3 密码基础设施建设
正文
商用密码算法是一种重要的密码技术，被广泛应用于各种场景以保证信息的安全。
商用密码算法可以为用户提供机密性、完整性、真实性、抗抵赖性、可控性等一系列重要安全服务和保障。
在网络安全防护中具有不可替代的重要作用，因此，商用密码技术与航天技术、核技术并列为国家安全的三大战略武器。
在实际应用中，商用密码算法的应用场景包括电力行业、云计算场景以及密码基础设施建设等。
首先，在电力行业中，商用密码算法可以应用于密码基础设施建设、重要生产网络和信息系统、新技术赋能等方面。
在国家能源局的指导下，国网公司成立商用密码管理中心，并在各网省公司建设统一密码服务平台，以保障电力行业的信息安全。
其次，在云计算场景中，商用密码算法可以解决云计算的安全风险。
云计算是一种新型的信息处理方式，其特点是用户、数据、信息资源高度集中，对云平台服务连续性的高度依赖以及虚拟化的资源可扩展性等。
这些特点给云计算带来了不可避免的安全风险。
利用商用密码技术可以消除这些安全风险，从而保证云计算的安全性。
最后，商用密码算法在密码基础设施建设中也发挥着重要作用。
密码基础设施是提供机密性、完整性、真实性、不可否认性等安全服务的基础资源，是实现密码应用的重要组成部分。
商用密码算法可以为密码基础设施建设提供重要的技术支持。
综上所述，商用密码算法在各种应用场景中都发挥着重要作用，是保障信息安全的重要技术手段。
工业和信息化领域商用密码典型应用方案
工业和信息化领域商用密码典型应用方案在当今这个科技发达的时代，信息的安全性变得愈发重要，采用密码的形式来保障信息的安全性也变得更加重要。
尤其是在工业和信息化领域，密码的应用也变得日益广泛，使用密码的方案可以确保信息的安全性，也可以更有效的管理企业的信息资源。
因此，密码的采用成了工业和信息化领域的标志性应用。
首先，密码在工业和信息化领域最常用的就是进行身份认证，以确认授权的用户可以获取授权的资源，而不被未经许可的人窃取。
针对企业的信息安全，企业可以采用用户账号密码的形式，为用户提供唯一的认证凭证，保证人员的合法访问。
密码可以给用户提供一种有效的身份认证保障，避免因为认证被攻击而给企业带来不必要的损失。
另外，在工业和信息化领域还有另外一种重要的应用，就是数据加密，企业可以采用密码来对数据进行加密，保护企业的核心数据免于被未经许可的偷窃，避免因为数据泄露而给企业带来不必要的损失。
通过对数据进行加密，可以有效的保存企业数据的安全，即使数据被非法入侵也不可能被破解，确保企业信息的安全。
再者，密码还可以用来进行网络安全的检测，特别是在网络安全方面，企业可以采用密码的形式来保障网络的安全，对网络进行定期的检测，以及针对特殊情况进行应急杜绝。
这样一来，不仅可以保障企业网络的安全性，也可以及时发现安全漏洞，以保障网络安全。
最后，密码还可以用来进行企业信息资源管理，通过设置企业信息资源的访问密码，企业可以更好的统一管理资源，这样不仅可以防止资源被私自改动，也可以更有效的管理企业的信息资源。
以上，就是工业和信息化领域采用密码的典型应用方案，无论是在身份认证，数据加密，网络安全检测，还是信息资源管理，密码都可以为企业提供有效保障，确保企业信息的安全。
只要密码的采用得当，企业的信息安全就可以得到有效的保障，企业信息的安全就可以得到有效的保证。
商用密码应用方案设计要点
商用密码应用方案设计要点商用密码应用方案设计的要点包括以下几个方面：1. 安全性，商用密码应用方案的首要考虑是确保数据的安全性。
这包括采用强大的加密算法、安全的存储和传输方式，以及严格的访问控制机制，如多因素身份验证、权限管理等，以防止未经授权的访问和数据泄露。
2. 用户友好性，商用密码应用方案应该易于使用和管理，以提高用户的工作效率和满意度。
这包括简洁直观的用户界面、方便的密码管理功能（如自动生成密码、密码分类和搜索等），以及支持多平台和设备的无缝同步。
3. 密码复杂性策略，商用密码应用方案应该支持灵活的密码复杂性策略，以确保用户创建的密码足够强大。
这包括要求密码长度、包含大小写字母、数字和特殊字符等，同时也要避免过于复杂的要求，以免用户难以记忆。
4. 定期更换密码，商用密码应用方案应该提供定期更换密码的功能，并提醒用户及时更新密码。
这有助于减少密码被猜测或破解的风险，并保持账户的安全性。
5. 密码存储和传输的安全性，商用密码应用方案应该采用安全的方式存储和传输密码。
密码应该以加密形式存储，并使用安全的传输协议进行传输，如HTTPS。
此外，密码应该在传输和存储过程中进行适当的加密和解密操作，以防止中间人攻击和数据泄露。
6. 审计和监控，商用密码应用方案应该具备审计和监控功能，以便管理员能够跟踪和监控用户的密码使用情况。
这可以帮助发现异常行为、及时采取措施，并提供必要的安全报告和日志记录。
7. 应急访问，商用密码应用方案应该考虑到应急情况下的访问需求。
例如，当某个账户的密码丢失或忘记时，管理员应该有一种安全的方式来重置密码或者获取临时访问权限，以便用户能够继续工作。
8. 更新和漏洞修复，商用密码应用方案应该定期进行更新和漏洞修复，以保持系统的安全性。
这包括及时应用安全补丁、修复已知的漏洞，并与安全厂商和社区保持紧密合作，以获取最新的安全信息和解决方案。
以上是商用密码应用方案设计的一些要点，综合考虑这些方面可以帮助设计出安全可靠的商用密码应用方案。
商用密码应用安全性评估
将任意长度的数据映射为固定长度的哈希值，具有不可逆性 和抗碰撞性，常用于数据完整性校验和密码存储等场景。典 型的哈希函数包括MD5、SHA-1、SHA-256等。
数字签名技术
利用非对称加密算法和哈希函数实现数据完整性验证和身份 认证，广泛应用于电子合同、安全认证等领域。常见的数字 签名算法包括RSA签名、ECDSA签名等。
密钥存储与保护安全性检测
评估密钥存储设备的物理安全性和逻辑安全性，确保密钥 在存储、使用、销毁等生命周期中不被泄露或滥用。
密钥使用与更新安全性检测
监控密钥使用过程，确保其在规定范围内使用，及时检测 和更新弱密钥或泄露密钥，降低安全风险。
智能卡及终端产品安全性检测技术研究
智能卡芯片安全性检测
评估智能卡芯片的抗物理攻击能力、加密算法实现的安全性以及卡片操作系统的安全性。
模糊测试
通过向密码算法输入大量随机或异常数据，检测其异常处理、错误 反馈等机制是否健壮，评估算法实现的安全性。
侧信道分析
利用密码算法实现过程中的电磁辐射、功耗、声音等侧信道信息，分 析算法实现的安全性，防范物理攻击。
密钥管理系统安全性检测技术研究
密钥生成与分发安全性检测
检测密钥生成算法的安全性和随机性，确保密钥分发过程 中不被泄露或篡改。
商用密码应用安全性
评估
汇报人：
汇报时间：
• 密码学基础与商用密码概述 • 商用密码应用现状分析 • 安全性评估方法与标准体系介绍 • 商用密码产品安全性检测技术研
究
目录
• 风险评估与应对策略制定过程剖 析
• 总结与展望：提高商用密码应密码学基础与商用密码概述
密码学发展历程
01
02
03
商用密码体系简介
SecureShell ： SSH是 一种用 于远程访问和管理计算机系 统的协议，旨在替代不安全 的Telnet协议。SSH通过使用 非对称密钥进行密钥交换， 并使用对称密钥进行数据加 密，以确保远程访问的安全。
InternetProtocolSecurity ： I PSec 是 一 种 用 于 保 护 IP 数 据 包 安 全 的 协 议 ， 旨 在 为 IP 网 络通信提供机密性、认证性 和完整性保护。IPSec通过使 用非对称密钥进行密钥交换， 并使用对称密钥进行数据加 密 ， 以 确 保 IP 数 据 包 的 安 全 传输。
在密码学和网络安全领域中，它是一种用于验证用户身份的凭证。口令通常由用户自己选择并设置，是一段具 有一定复杂度、保密性的字符串。
口令安全性遵循原则 ◼ 复杂性：使用足够长度且包含字母（大小写）、数字、特殊字符等多种字符类型的混合口令。 ◼ 唯一性：每个服务或账户应使用不同的口令，避免一处泄露导致所有服务受攻击的情况。 ◼ 更新频率：定期更换口令可以降低长期未发现的漏洞被利用的风险。 ◼ 保密性：不向他人透露口令，不在易读的地方记录口令。
SM7算法：SM7算法是一种国产分组密码算法，分组长度为128比特，密钥长度为128比特。它适用于非接触式IC卡，广泛应用于身份识别、票务、支付和通卡等领 域。SM7算法具有真随机数发生器、三重相互安全认证机制等特点，每张卡具有4字节的唯一序列号，支持一卡一密和一卡多用。
SM2算法：是一种基于椭圆曲线的公钥密码算法，由国家密码局认定 的国产密码算法。SM2算法包括SM2-1椭圆曲线数字签名算法、SM2-2 椭圆曲线密钥交换协议和SM2-3椭圆曲线公钥加密算法，分别用于实 现数字签名、密钥协商和数据加密等功能。SM2算法基于椭圆曲线上 点群离散对数难题，相对于RSA算法，256位的SM2密码强度已经比20 48位的RSA密码强度要高。SM2算法定义了5个默认参数，即有限域F §的规模p、椭圆曲线参数a、b、椭圆曲线的基点G(x,y)和与G的阶n， 国密算法标准中给出了对应的默认值。SM2算法的主要功能包括公私 钥生成、数字签名和密钥交换等。
国产密码算法及应用
国产密码算法及应用商用密码，是指能够实现商用密码算法的加密、解密和认证等功能的技术。
（包括密码算法编程技术和密码算法芯片、加密卡等的实现技术）。
商用密码技术是商用密码的核心，国家将商用密码技术列入国家秘密，任何单位和个人都有责任和义务保护商用密码技术的秘密。
商用密码的应用领域十分广泛，主要用于对不涉及国家秘密内容但又具有敏感性的内部信息、行政事务信息、经济信息等进行加密保护。
比如各种安全认证、网上银行、数字签名等。
为了保障商用密码安全，国家商用密码管理办公室制定了一系列密码标准，包括SSF33、SM1（SCB2）、SM2、SM3、SM4、SM7、SM9、祖冲之密码算法等等。
其中SSF33、SM1、SM4、SM7、祖冲之密码是对称算法；SM2、SM9是非对称算法；SM3是哈希算法。
目前已经公布算法文本的包括SM2椭圆曲线公钥密码算法、SM3密码杂凑算法、SM4分组密码算法等。
一、国密算法简介1.SM1对称密码国密SM1算法是由国家密码管理局编制的一种商用密码分组标准对称算法，分组长度为128位，密钥长度都为128比特，算法安全保密强度及相关软硬件实现性能与AES相当，算法不公开，仅以IP核的形式存在于芯片中。
采用该算法已经研制了系列芯片、智能IC卡、智能密码钥匙、加密卡、加密机等安全产品，广泛应用于电子政务、电子商务及国民经济的各个应用领域（包括国家政务通、警务通等重要领域）。
2.SM2椭圆曲线公钥密码算法SM2算法就是ECC椭圆曲线密码机制，但在签名、密钥交换方面不同于ECDSA、ECDH等国际标准，而是采取了更为安全的机制。
国密SM2算法标准包括4个部分，第1部分为总则，主要介绍了ECC 基本的算法描述，包括素数域和二元扩域两种算法描述，第2部分为数字签名算法，这个算法不同于ECDSA算法，其计算量大，也比ECDSA复杂些，也许这样会更安全吧，第3部分为密钥交换协议，与ECDH功能相同，但复杂性高，计算量加大，第4部分为公钥加密算法，使用ECC公钥进行加密和ECC私钥进行加密算法，其实现上是在ECDH上分散出流密钥，之后与明文或者是密文进行异或运算，并没有采用第3部分的密钥交换协议产生的密钥。
商用密码应用与安全评估笔记 知识点总结
商用密码应用与安全评估笔记知识点总结一、知识概述《商用密码应用与安全评估》①基本定义：商用密码呢，简单说就是用于商业领域的密码技术和产品。
它不是咱平常随便设的那种简单密码，而是有着严格标准和规范的，像企业保护商业机密、金融机构保障交易安全这些地方就用到它。
②重要程度：在现代商业活动里，那可太重要啦。
就好比一个房子的门锁，是保护商业信息安全的关键。
如果没有它，企业的机密信息像商业计划、用户数据就可能被泄露，企业就可能遭受巨大损失。
③前置知识：得先知道一点密码学的基本概念，像什么是加密、解密。
还得了解点计算机安全方面的基础知识，不然很难明白商用密码在其中的位置。
④应用价值：实际应用场景可多了。
就拿电商来说，我们网上买东西的时候，付款环节的安全就得靠商用密码，还有企业内部网络通信，要防止数据被窃听或者篡改，都得用它。
二、知识体系①知识图谱：在密码学这个大领域里，商用密码应用与安全评估是比较靠近应用层面的一块。
它和密码算法、密钥管理等知识都有关联。
②关联知识：它跟加密算法就紧密相连。
比如说对称加密算法，这是商用密码中可能用到的一种，像AES（高级加密标准）算法。
还有数字签名技术，这可以确保信息的发送者身份是真实可靠的。
③重难点分析：掌握难度在于它的标准规范比较复杂。
关键是要理解不同应用场景下对商用密码的需求和对应的安全评估指标。
④考点分析：在专业的信息安全考试里，可能会出比如让你列举商用密码应用场景、或者叙述安全评估的基本流程这类题。
三、详细讲解（实践应用类）①准备工作：需要了解相关的密码产品，像密码机、加密软件等。
还得清楚自己的商业应用场景是什么样的，是要保护本地数据还是网络通信数据等。
比如说你要保护公司内部的文档数据，那得先知道数据存放在哪里，是本地服务器还是云端。
②操作流程：首先确定采用哪种商用密码技术，是用加密还是数字签名之类的。
如果选择加密，那就得选合适的加密算法。
然后对需要保护的数据进行处理，比如设置密钥，将数据加密后存储或者传输。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
二、商用密码基础知识
u 密码发展史：
2.密码、商用密码ቤተ መጻሕፍቲ ባይዱ展史
·古典密码--公元前1900年
·近代密码--1918年发明Enigma
·现代密码--1946年人类发明计算机
·密码的未来--量子密码、生物密码
二、商用密码基础知识
u 我国密码发展情况
2.密码、商用密码发展史
·革命战争时期—咽喉、命脉
·社建时期—神经中枢
·已授权用户可正常访问使用 ·未授权用户禁止访问 2.机密性：防泄密————“看不懂”、“拿不走” ·已授权的用户可以正常查看 ·未授权的用户看不到 3.完整性：防篡改————“改不了” ·保证信息不被未授权改动 4.非否认性：抗抵赖————“跑不掉” ·用户不可否认之前针对资源的任何操作，包括访问、 修改、删除、增加等
我省三家CA： GDCA 深圳CA 网证通
· 国产商用密码在电力、水利、教育、交通等各个 领域多个系统都有大量应用。
· 7月24日，将在南方电网公司召开现场会。
谢谢！
密码技术是保障信息安全的核心技术
二、商用密码基础知识
二、商用密码基础知识
1.相关概念 2.密码、商用密码发展史 3.密码的性质与功能 4.新时期密码的定位
二、商用密码基础知识
1.相关概念
密码
商用 密码
密
码
密码
学
密码
密码
协议
技术
算法
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
密码普通认知：口令、指纹、脸谱、虎符等不 属于密码范畴。
密码学意义上的密码，指按约定规则，为隐藏 消息原形而生成的一组具有随机特性的特定符号。
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
研究密码与密码活动本质和规律，探索密码编 制、密码破译以及密码管理一般规律的学科。
密码学(Cryptography)包括密码编码学和密码 分析学。
密码
是指描述密码处理过程的一组运算规则或规程，一般 是指基于复杂数学问题设计的一组运算，其基本原理基于 数学难题、可证明计算、计算复杂度等。主要包括：
对称密码 公钥密码 哈希 随机数生成
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
·对称密码：其主要特点是加解密双方在加解 密过程中要使用完全相同的一个密钥。
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
密码编制、分析和破译的相关技术，集数学、 计算机科学、电子与通信等诸多学科于一身的交叉 学科,包括密码算法、密码协议和密码系统等的设 计与分析。
密码技术核心是密码算法，重点是密码协议。
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
·改革开放时期—生命线、保障线、指挥线
·新的历史时期—重要战场、重要防线、重要渠道
二、商用密码基础知识
2.密码、商用密码发展史
u 我国商用密码发展史 ·1996年7月，中央政治局常委会研究决定发展商用密码 ·1999年10月7日，朱镕基总理签发《商用密码管理条例》
……
二、商用密码基础知识
1.真实性：防假冒————“进不来” •3.密码的性质与功能
公钥密钥的优点就在于：也许使用者并不认识某一实体，但只要 其服务器认为该实体的CA (认证中心Certification Authority)是可 靠的，就可以进行安全通信。
国外算法：RSA 国产算法：SM2
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
·密码杂凑算法：又称为散列算法或哈希函数，是把任意长的
商用密码基础知识与应用
杨耀华 2017年7月
01 信息安全与密码技术的关系 02 商用密码基础知识 03 商用密码应用举例
一、信息安全与密码技术的关系
一、信息安全与密码技术的关系
信息安全
系统安全一般采用防火 墙 、病毒查杀、防范 等被动措施
系统安全
数据安全
数据安全则主要是指采用现 代密码技术对数据进行主动 保护，如数据保密、数据完 整性、数据不可否认与抵赖、 双向身份认证等
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
1999年10月7日国务院发布的《商用密码管理条例》 第二、三、四条指出：“商用密码，是指对不涉及国 家秘密内容的信息进行加密保护或者安全认证所使用 的密码技术或密码产品。”“国家对商用密码产品的 科研、生产、销售和使用实行专控管理。”“国家密 码管理机构主管全国的商用密码管理工作，省、自治 区、直辖市负责密码管理的机构根据国家密码管理机 构的委托，承担商用密码的有关管理工作。”
·随机数生成：一般是指生成伪随机序列的算法，通
常由随机数发生源和后续处理函数组成，随机数发生源用于 提供随机种子，后续处理函数用于平衡随机数的质量。输入 长度是任意的，输出长度是固定的。我国密码产品中采用的 密钥要求用数字物理噪声源芯片等硬件生成，输出的数据应 能够符合《GM/T 0005-2012随机性检测规范》。
具有加解密速度快和安全强度高的优点。 国外算法：DES、AES 国产算法：SM1、SM4、SM7
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
·公钥密码：又称为非对称密码算法，是现代密码学最重要的
发明和进展。 要求密钥成对出现，一个为加密密钥，可以对外公开 （又称为公钥），另一个为解密密钥，用户自己唯一拥有（称为私 钥）。
二、商用密码基础知识 •4.新时期密码的定位
·密码是大国间政治利益、军事利益、经济利益博弈的主战场，直接关系着 党和国家的根本利益。 ·密码技术与核技术、航天技术并称为国家安全的三大支撑技术，在国家创 新发展中居于重要地位。 ·密码是解决网络与信息安全最有效、最可靠、最经济的方式，是维护网络 与信息安全的核心技术和基础支撑。 ·密码是我国网络信息安全实现弯道超车的突破口，是落实国产自主可控替 代计划的重要一环，是实现国家安全关口前移的重要方面。
输入消息串变成固定长的输出串的一种函数，这个输出串称为该消息 的杂凑值。输入长度是任意的，输出长度是固定的。计算杂凑值是容 易的，逆向运算计算不可行；找到不同消息使得它们杂凑到同一个值 计算上不可行。
国外算法：MD5、SHA1、SHA2、SHA3 国产算法：SM3
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
密码
密 码 学
密码 密码 密码 商用 技术 算法 协议 密码
是指两个或两个以上的参与者为了达到某种特定 目的而采取的一系列步骤。规定了一系列有序执行的 步骤，必须依次执行。必须有两个或两个以上的参与 者，由明确的目的。参与者都必须了解、同意并遵循 这些步骤。
常用协议有密钥交换协议、IPSec VPN协议、SSL VPN协议等。
——牢固树立以总体国家安全观为统领、以国产密码为核 心技术和基础支撑的网络信息安全观。
三、商用密码应用举例
以某市密码管理局、市卫生信息中心、某数字证书认证中心三家 单位联合为南京市主要医院开展国产商用密码技术在电子病历中的应 用示范为例：
系统总体架构图
电子认证服务平台示意图
《电子病历**（征 求意见稿）》正在 征求意见，但其中 明确提出应使用经 过国家认证的第三 方CA。