“共商密码发展、共筑安全之基”
「 没有礁石的阻挡，哪有浪花的激越;没有羚羊的快捷，哪有猎豹的英姿;有了风的拥抱，帆张开了胸膛;有了雪的映衬，梅越加冷艳高洁。人生的路上，我们时时被挫折环伺，被失败包围。让我们越挫越勇，越败越强，只要不倒下，只要不溃退，失败和挫折就如垫脚石，增加我们的高度，厚重我们的人生。 」
言归正传
由中国密码学会密评联委会修订形成，2021年12月发布的版本《信息系统密码应用高风险判定指引》。该指引文件旨在指导、规范信息系统密码应用的规划、建设、运行及测评。高风险判定指引指引中定义的高风险项，在实际密码改造与测评过程中应避免高风险项的存在，测评要求是达到60分+，且无高风险项。
围绕商用密码安全性评估基本要求配套材料链接，供延展阅读。
以下是根据该指引内容整理的信息系统密码应用高风险判定的一些关键要点：
一、概述
该指引通过指标要求、适用范围、安全问题、可能的缓解措施和风险评价等方面，对信息系统密码应用的高风险进行判定。由于信息系统密码应用场景的复杂性，指引无法涵盖所有高风险安全问题，因此在具体判定时应结合信息系统的实际情况。
二、通用要求
2.1. 密码算法
指标要求：信息系统中使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求。
安全问题：
采用存在安全问题或安全强度不足的密码算法对重要数据进行保护，如MD5、DES、SHA-1、RSA（不足2048比特）等。
采用安全性未知的密码算法，如自行设计的密码算法，经认证的密码产品中未经安全性论证的密码算法。
风险评价：上述安全问题一旦被威胁利用后，可能会导致信息系统面临高等级安全风险。
2.2. 密码技术
指标要求：信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。
安全问题：采用存在缺陷或有安全问题警示的密码技术，如SSH 1.0、SSL 2.0、SSL 3.0、TLS 1.0等。
采用安全性未知的密码技术，如未经安全性论证的自行设计的密码通信协议，经认证的密码产品中未经安全性论证的密码通信协议等。
风险评价：与密码算法相同，这些问题也可能导致信息系统面临高等级安全风险。
2.3. 密码产品和密码服务
指标要求：信息系统中使用的密码产品、密码服务应符合法律法规的相关要求。
安全问题：
1）采用自实现且未提供安全性证据的密码产品。
2）采用存在高危安全漏洞的密码产品，如存在Heartbleed漏洞的OpenSSL产品。
3）密码产品的使用不满足其安全运行的前提条件。
4）选用的密码服务提供商不具有相关资质。
5）存在密钥管理相关安全问题。
风险评价：这些问题同样可能导致信息系统面临高等级安全风险。
三、信息系统密码应用高风险判定指引
以下内容是基于信息系统密码应用高风险判定指引相关原文文件进行归纳总结，基础内容以原文为主，具体如下：
3.1 高风险判定原则
基于GB/T 39786 信息安全技术 信息系统密码应用安全性评估中，对于关键测评项进行测评时，应无高风险，可通过缓解措施的方式以降低风险可能造成的安全事件风险。
3.2 高风险项
针对高风险项的存在，解决办法有两种：
1、采用等效措施，即达到同等效果的密码改造与集成措施；
2、采用缓解措施，即采用其他非密码技术来缓解高风险项带来的安全威胁。
3.3 通用要求—密码算法
3.4 通用要求—密码技术
3.5 通用要求—密码产品和服务
3.6 物理和环境安全—身份鉴别
3.7 网络和通信安全—身份鉴别
3.8 网络和通信安全—通信过程中重要数据的机密性
3.9 设备和计算安全—身份鉴别
3.10 设备和计算安全—远程管理通道安全
3.11 应用和数据安全—身份鉴别
3.12 应用和数据安全—重要数据传输机密性
3.13 应用和数据安全—重要数据存储机密性
3.14 应用和数据安全—重要数据存储完整性
3.15 应用和数据安全—不可否认性
3.16 密码应用管理要求—具备密码应用安全管理制度
3.17 密码应用管理要求—制定密码应用方案
五、信息系统密码应用高风险判定指引下载
关注公众号后，发送”021"关键词,下载"商用密码应用安全性评估全套规范PDF**.pdf**”
<END>
分享有用知识、实现自我提升
关注“商密之巅”，不迷路
推荐阅读
**免责声明：**本公众号所发布内容为作者业余时间整理，供自己学习、记录和分享，皆为更好推动商用密码算法、技术、产品及解决方案普及，仅供大家参考！涉及相关文档/方案版权归原作者所有。若所引用的内容来源标注有误或涉及侵权，请及时联系作者进行删除处理。
分享、点赞、在看，3连击！
