- 博客(40)
- 资源 (16)
- 收藏
- 关注
RSS订阅
原创 商用密码产品密码模块分级检测申请材料编写介绍
商用密码产品密码模块分级检测材料编写前言材料编写说明总体说明密码模块规格密码模块接口角色、服务与鉴别软件/固件安全运行环境物理安全非入侵式安全敏感安全参数管理自测试生命周期保障前言目前商密认证的企业集中反馈问题比较多的是密码模块分级检测申请材料的编写。里面抽象的概念和送检产品本身如何对应，如何回答材料中的安全要求，甚至如何对产品分类等等。这些问题确实是我们面对的第一道关口，关系后面整体材料的方向。受限于时间和精力，这篇文档不可能面面俱到，我们只能简单分析出问题比较多的点。后续我会定期更新同类型的产品所对
2020-06-29 23:48:42
4658
1
原创 商用密码产品认证（型号）概述
商用密码产品认证/型号概述写在前面密码法和商用密码产品认证流程时间和费用难度说明关于我们写在前面最近一直有人咨询商用密码产品认证流程和申请材料的各种，想来也确实该写一写这方面的文章来帮助缺乏相关经验的人梳理整个流程中遇到的问题。今后会定期更新密码行业相关文章，抛砖引玉，与各位交流商密规范、技术、材料编写等方面的问题。密码法和商用密码产品近年来国内商用密码领域发展迅速。在互联网应用普及的浪潮中，商用密码的发展也迎来了从无到有、从小变大、从可选到必要的发展历程。尤其是《密码法》的颁布，正式将商用密码产品
2020-06-29 22:24:28
6381
5
原创 随机数检测（五）
符合GM/T 0005-2021和GM/T 0062-2018的随机数检测工具。随机数以文件形式导入，可输出测试结果文件，包含15种测试项的p、q结果。可用于商用密码产品开发阶段的自测试，也可用于商用密码产品认证过程中随机数送样检测的预测试。
2023-07-26 11:45:25
594
原创 随机数检测（三）
如果商用密码产品认证中遇到问题，欢迎加微信symmrz或13720098215沟通。块内最大游程检测方法如下图。二元推导检测方法如下图。自相关检测方法如下图。矩阵秩检测方法如下图。以下实现代码供参考。以下实现代码供参考。以下实现代码供参考。以下实现代码供参考。
2023-07-09 21:19:38
396
原创 随机数发生器设计（三）
本文描述了软件随机数发生器设计过程中设计的熵估计和健康测试。熵估计采用了Markov熵估计方式，见nist.sp.800-90B。健康测试包括上电健康测试和连续健康测试。
2023-06-04 09:03:03
603
原创 随机数发生器设计（一）
密码行业的随机数发生器总体框架标准为GM/T 0103。本文概述了硬件随机数发生器和软件随机数发生器的设计思路，为后续的详细设计提供指引。
2023-05-21 23:06:30
1021
原创 商用密码产品认证中的随机数（二）
本文介绍了现行密码标准体系中包括三类随机数相关标准：框架类标准、设计类标准和检测类标准。进一步的，描述了现有随机数生成方式。
2023-05-12 23:59:19
881
原创 商用密码产品认证中的随机数（一）
如果说密钥的安全是密码产品的基石，那随机数的安全就是密钥安全的基石。商用密码产品认证中，随机数的合规性也是检测阶段重点关注的环节。本系列将围绕随机数展开描述，涉及随机数的定义、应用场景、规范解读、随机数发生器的设计、随机数质量的检测等。
2023-05-07 23:31:37
1089
原创 密码应用安全性评估实施要点之三密钥管理要求与实现要点
密码应用安全性评估实施要点--密钥管理要求与实现要点1、 不同密码应用层面中的典型密钥1） 物理和环境安全层面的典型密钥2） 网络和通信层面的典型密钥3） 设备和计算层面的典型密钥4） 应用和数据安全层面的典型密钥（1） 真实性保护密钥。（2） 保密性保护密钥。（3） 完整性保护密钥。（4） 用于不可否认功能的密钥。2、 密钥生成3、 密钥存储4、 密钥分发5、 密钥导入与导出6、 密钥使用7、 密钥备份与恢复8、 密钥归档9、 密钥销毁密钥管理是密码应用的基础支撑。根据《信息系统密码应用基本要求》所定义
2021-04-23 23:10:33
2817
原创 密码应用安全性评估实施要点之二密码技术应用要求与实现要点（4）
应用和数据安全要求与实现要点总则实现要点概述1） 身份鉴别2） 访问控制信息和敏感标记完整性3） 数据传输保密性4） 数据存储保密性5） 数据传输完整性6） 数据存储完整性7） 日志记录完整性8） 重要应用程序的加载和卸载9） 抗抵赖10） 密码模块的实现总则应用和数据安全应用总则如下：① 采用密码技术对登录用户进行身份鉴别。② 采用密码技术的完整性功能来保证系统资源访问控制信息的完整性。③ 采用密码技术的完整性功能来保证重要信息资源敏感标记的完整性。④ 采用密码技术保证重要数据在传输过程中的保
2021-04-13 23:15:30
4062
原创 密码应用安全性评估实施要点之二密码技术应用要求与实现要点（3）
设备和计算、应用和数据安全要求与实现要点总则实现要点概述1） 身份鉴别2） 远程管理鉴别信息保密性3） 访问控制信息完整性4） 敏感标记完整性5） 重要程序或文件完整性6） 日志记录完整性7） 密码模块实现总则设备和计算安全密码应用总则如下：① 采用密码技术对登录的用户进行身份鉴别② 采用密码技术的完整性功能来保证系统资源访问控制信息的完整性。③ 采用密码技术的完整性功能来保证重要信息资源敏感标记的完整性。④ 采用密码技术的完整性功能对重要程序或文件进行完整性保护。⑤ 采用密码技术的完整性功能
2021-04-07 20:50:33
3766
原创 密码应用安全性评估实施要点之二密码技术应用要求与实现要点（2）
物理和环境安全、网络和通信安全要求与实现要点1 物理和环境安全的要求与实现要点1） 身份鉴别2） 电子门禁记录数据完整性3） 视频记录数据完整性4） 密码模块实现2 网络和通信安全的要求与实现要点① 身份鉴别② 内部网络安全接入③ 访问控制信息完整性④ 通信数据完整性⑤ 通信数据保密性⑥ 集中管理通道安全⑦ 密码模块实现1 物理和环境安全的要求与实现要点物理和环境安全密码应用总则如下：①采用密码技术实施对重要场所、监控设备等的物理访问控制。②采用密码技术对物理访问控制记录、监控信息等物理和环境的敏感
2021-03-27 21:19:18
11416
原创 密码应用安全性评估实施要点之二密码基本要求与实现要点（1）
密码基本要求与实现要点（1）1 标准介绍2 总体要求解读2.1 密码算法2.2 密码技术2.3 密码产品2.4 密码服务1 标准介绍2018年2月8日，GM/T 0054-2018《信息系统密码应用基本要求》由国家密码管理局发布并实施。该标准由9个正文章节和2个资料性附录组成，包括总体要求、密码功能要求、密码技术应用要求、密钥管理、安全管理等内容。①总体要求规定了密码算法、密码技术、密码产品和密码服务应当符合商用密码管理的相关规定，满足标准规范的相关要求，即合规性。②密码功能要求从保密性、完整性、真
2021-03-20 23:07:09
3617
原创 密码应用安全性评估实施之（一）密码应用方案设计
密码应用安全性评估实施之（一）密码应用方案设计1、 设计原则2、 设计要点（1） 密码应用解决方案设计要点（2） 密码应用实施方案设计要点（3） 密码应用应急处置方案设计要点（4） 已建信息系统密码应用方案提炼密码应用安全性评估包括两部分内容：信息系统规划阶段对密码应用方案的评审/评估和建设完成后对信息系统开展的实际测评。1、 设计原则密码应用方案设计是信息系统密码应用的起点，它直接决定着信息系统的密码应用能否合规、正确、有效地部署实施。此外，密码应用方案还是开展信息系统密码应用情况分析和评估工作的基
2021-03-13 20:30:41
22548
原创 商用密码应用与安全性评估之（四）密码应用安全性评估实施要点
商用密码应用与安全性评估之（四）密码应用安全性评估实施要点商用密码应用安全性评估的主要内容1、 评估依据和基本原则2、 评估主要内容1） 商用密码应用合规性评估2） 商用密码应用正确性评估3） 商用密码应有有效性评估商用密码应用安全性评估政策法规和规范性文件商用密码应用安全性评估各方职责1、 测评机构和测评人员的职责2、 网络与信息系统责任单位的职责3、 密码管理部门的职责商用密码应用安全性评估的主要内容1、 评估依据和基本原则测评机构开展评估应当遵循商用密码管理政策和GM/T 0054-2018《信
2021-03-06 23:55:43
34459
原创 商用密码应用与安全性评估之（三）商用密码应用法律政策要求
商用密码应用与安全性评估之（三）商用密码应用法律政策要求1 国家法律法规有关密码应用的要求（1）《密码法》（2）《网络安全法》（3）《商用密码管理条例》（4）《关键信息基础设施安全保护条例（征求意见稿）》（5）《网络安全等级保护条例（征求意见稿）》（6）《信息安全等级保护商用密码管理办法》（7）《电子认证服务密码管理办法》（8）《政务信息系统政府采购管理暂行办法》（9）《国家政务信息化项目建设管理办法》2 国家战略和规划有关密码应用的要求（1）国家网络安全和信息化、科技产业支撑规划（2）国家重大专项和行动3
2021-03-04 22:26:55
2768
1
原创 商用密码应用与安全性评估之（二）商用密码管理法律法规
商用密码应用与安全性评估之（二）商用密码管理法律法规《密码法》实施前商用密码法律法规体系《密码法》立法情况和商用密码法律法规体系建设展望（1）《密码法》立法情况（2）商用密码管理法规制定制修订情况（3）与密码管理密切相关的法律法规制修订情况《密码法》实施前商用密码法律法规体系国务院与1999年颁布《商用密码管理条例》，将党中央、国务院关于商用密码工作的方针、政策和原则以国家行政法规的实行确定下来。《商用密码管理条例》是我国密码领域的第一步行政法规，也是首次以国家行政法规形式明确了商用密码定义、管理机构和
2021-02-12 21:49:48
2111
2
原创 商用密码应用与安全性评估之（一）网络空间安全形式与商用密码工作
商用密码应用与安全性评估之（一）网络空间安全形式与商用密码工作1 网络空间安全形式与商用密码工作1.1 国际国内网络空间安全形势1.1.1 国际网络空间安全形势1.1.1.1 网络空间安全纳入国家战略1.1.1.2 网络攻击在国家对抗中深度应用1.1.1.3 网络攻击已逐步深入网络底层固件1.1.2 国内网络空间安全形式1.1.2.1 核心技术受制于人的局面没有得到根本性改变1.1.2.2 信息产品存在巨大安全隐患1.1.2.3 关键信息基础设施安全防护能力仍然薄弱1.1.3 密码在网络空间中的重要作用1.
2021-01-30 23:42:06
2425
1
原创 随笔杂谈之EAN-13条形码
EAN-13条形码背景技术实现数据组成生成待编码数据对数据编码计算校验符显示背景EAN码(英文全称：European Article Number）由前缀码、厂商识别码、商品项目代码和校验码组成。前缀码是国际EAN组织标识各会员组织的代码，我国为690-699；厂商代码是EAN编码组织在EAN分配的前缀码的基础上分配给厂商的代码；商品项目代码由厂商自行编码；校验码为了校验代码的正确性。在编制商品项目代码时，厂商必须遵守商品编码的基本原则：对同一商品项目的商品必须编制相同的商品项目代码；对不同的商品项目必
2021-01-09 20:25:29
1958
原创 随笔杂谈之EAN-UCC条形码
EAN-UCC-128条形码背景新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入背景UCC/EAN-128用于商品的物流环节，非定长，用AI加数据的方式表示商品更多的辅助信息。UCC/EAN-128是code-128码的
2021-01-08 10:16:50
921
原创 商用密码产品认证-数字证书认证系统
数字证书认证系统产品1、产品概述2、相关标准规范（1）基础设施类标准（2）应用支撑类标准（3）密码检测类标准3、标准和产品应用要点1）证书认证系统的检测类别有产品和项目之分，不同的类别对应的检测内容也不同2）采用双证书机制，并建设双中心3）应使用商用密码算法进行密码运算4）应遵循相关标准以满足密码服务接口的要求5）应对CA和KM的管理员进行分权管理6）应为证书认证系统进行物理区域划分，并进一步对KM物理区域进行划分7）应配置安全策略保障网络安全8）应采取多种安全措施对CA中所使用密钥的整个生命周期进行防护9
2021-01-03 21:14:31
6227
原创 密码机分类--签名验签服务器
商密产品认证-签名验签服务器产品概述签名验签服务器应用要点产品概述签名验签服务器是为应用实体提供基于PKI体系和数字证书的数字签名、验证签名等运算功能的服务器，可以保证关键业务信息的真实性、完整性和不可否认性，主要用于数字证书认证系统，也可以用于电子银行、电子商务、电子政务等基于PKI的业务系统，为这类业务系统提供数字证书的管理和验证服务。签名验签服务器在软硬件组成上与服务器密码机基本类似。厂商可在GM/T 0018-2012《密码设备应用接口规范》的基础上，对服务器密码机进一步封装，实现签名验签功能
2021-01-01 16:12:39
10348
2
原创 商用密码产品认证-IPSec/SSL网关技术与产品
商用密码产品认证-VPN标准与产品产品概述1） IPSec VPN和SSL VPN2） 安全认证网关3） 典型应用场景相关标准规范标准和产品应用要点1） VPN的标准和产品应用要点（1） 应使用商用密码算法进行密码运算。（2） 应结合具体密码协议，理解VPN产品的密钥体系结构。（3） 应注意IPSec VPN的数据报文封装模式（4） 应注意SSL VPN的工作模式（5） 应理解IPSec VPN中AH和ESP协议提供的安全功能。（6） 应注意对管理员的分权管理机制。2） 安全认证网关的标准和产品应用要点产
2020-12-25 16:53:48
4518
原创 商用密码产品认证-安全电子门禁系统
商用密码产品认证-安全电子门禁系统标准与产品1、产品概述1）电子门禁系统的组成2）电子门禁系统的密码应用方案2、相关标准规范3、标准和产品应用要点1） 应结合门禁卡发卡过程，理解电子门禁系统的密钥管理机制2） 应综合考虑电子门禁系统整体的安全性1、产品概述电子门禁系统是实现物理环境访问控制程序的有效手段，目前通常基于非接触式智能IC卡实现。GM/T 0036-2014《采用非接触卡的门禁系统密码应用技术指南》规定了采用非接触式IC卡的门禁系统使用的密码算法、密码设备、密码协议和密钥管理等技术要求。截止2
2020-12-13 17:09:18
4046
1
原创 商用密码产品认证-动态口令系统标准与产品
商用密码产品认证-动态口令系统标准与产品产品概述相关标准标准和产品应用要点（1）应结合动态口令生成过程，理解动态口令系统的密钥体系结构（2）应注意种子密钥写入动态令牌过程的安全（3）种子密钥应当以加密形式导入至认证系统中，只有获得允许才能使用（4）应注意种子密钥的使用安全（5）令牌在使用时应采用PIN保护（6）认证服务器和应用服务器通信应注意敏感字段的加密产品概述动态口令是一种一次性口令机制。用户无需记忆口令，也无需手工更改口令，口令通过用户持有的客户端器件生成，并基于一定的算法与服务端形成同步，从而作
2020-11-30 21:02:17
2953
原创 商用密码产品认证-电子签章系统
电子签章系统产品产品概述相关标准规范GM/T 0031《安全电子签章密码技术规范》GM/T 0047《安全电子签章密码检测规范》标准和产品应用要点应使用商用密码算法进行密码运算应注意电子印章和电子签章二者在数据格式上的关联和区别电子印章的验证生成电子签章的操作流程电子签章的验证产品概述电子签章将传统印章与电子签名技术进行结合，通过采用密码技术、图像处理技术等，使电子签名操作与纸质文件盖章具有相同的可视效果，让电子文档的电子签章具有了传统印章一样的功能。同时，电子签章基于公钥密码技术标准体系，以电子形式对
2020-10-25 18:11:44
2455
原创 商用密码产品认证-金融数据密码机
商用密码产品认证-金融数据密码机产品概述金融数据密码机标准和产品要点产品概述金融数据密码机在软硬件组成上与服务器密码机基本类似，主要用于金融领域内的数据安全保护，提供PIN加密、PIN转加密、MAC产生、MAC校验、数据加解密、签名验证、及密钥管理等金融业务相关功能。金融数据密码机除用于金融行业实际业务外，还可以提供基本的密码运算服务，为通用业务提供密码计算服务，例如，电子商务行业数字签名的生成和验证，动态令牌、时间戳服务器的数字签名生成等.金融数据密码机标准和产品要点标准GM/T 0045-201
2020-10-19 08:11:16
2980
6
原创 密码机分类---服务器密码机
密码机分类---服务器密码机服务器密码机描述产品标准使用方式服务器密码机描述服务器密码机作为通用型密码机产品，主要为应用提供最为基础和底层的密钥管理和密码计算服务。下图是典型的服务器密码机软硬件架构。从硬件上看，服务器密码机通常分为两类，一类是采用工控机+PCI/PCI-E密码卡的结构：密码卡进行实际的密钥管理和密码计算，集成在工控机上供其调用；另一类服务器密码机采取硬件自主设计的技术路线，将计算机主板的功能和密码芯片集成到一个板卡上，以进一步提高集成度和稳定性。服务器密码机的管理员一般拥有较高的
2020-09-28 22:55:58
17618
原创 商用密码产品认证-密码机（概述）
商用密码产品认证-密码机（概述）产品概述相关规范产品概述密码机是以整机形态出现，具备完整密码功能的产品，通常实现数据加解密、签名验签、密钥管理、随机数生成等功能。它可供各类应用系统调用，为其提供加密解密、签名验签等密码服务。其外部形态与一般的服务器、工控机等类似，可以部署在通用的机架中。目前国内的密码机主要呈现以下三大类：（1） 通用型的服务器密码机（2） 引用于证书认证领域的签名验签服务器（3） 应用于金融行业的金融数据密码机签名验签服务器和金融数据密码机，从硬件组成角度而言，与通用的服务器密
2020-09-26 22:38:39
6411
原创 商用密码产品认证-智能密码钥匙
商用密码产品认证-智能密码钥匙产品描述相关标准规范应用要点产品描述智能密码钥匙是一种具备密码运算、密钥管理能力、可提供密码服务的终端密码设备，其主要作用是存储用户秘密信息（如私钥、数字证书），完成数据加解密、数据完整性校验、数字签名、访问控制等功能。智能密码钥匙一般使用USB接口形态，因此也被称作USB Token或者USB Key。智能密码钥匙与智能IC卡类似，相似之处在于两者的处理器芯片基本是相同的，业内一般统称为智能卡芯片；智能IC卡领域的大量技术及标准被智能密码钥匙产品所使用；智能IC卡国际标
2020-09-13 21:36:10
6176
原创 商用密码产品认证-智能IC卡
商用密码产品认证-智能IC卡#产品概述智能IC卡是将一个或多个集成电路芯片嵌装于塑料基片上制成的卡片，卡内的集成电路具有数据存储、运算和判断功能，并能与外部进行数据交换。智能IC卡可以封装成卡式，或者是标签、纽扣、钥匙等特殊形状。目前传统的卡产品都有成熟的解决方案，国内也有一定成熟的供应商类似复旦微、同芯微等。智能IC卡分为存储卡、逻辑加密卡、智能CPU卡。前两种都不具备安全功能，商密认证一般针对的是智能CPU卡。目前广泛使用的银行卡、门禁卡、身份证、交通卡、社保卡、手机SIM卡等都是智能CPU卡。
2020-09-08 21:04:03
1213
原创 商用密码产品及对应规范介绍
商用密码产品及对应规范介绍#密码标准框架按照层级来划分，密码相关标准分为密码行业标准、国家标准和国际标准。密码行业标准由密码行业标准化技术委员会（密标委）主导，密标委负责密码技术、产品、系统、管理等方面的标准化工作。截至目前，密标委已经发布密码行业标准91项，涵盖基础密码算法、应用协议、密码设备接口等方面。已经发布的密码行业标准可访问http://www.gmbz.org.cn/main/bzlb.html。密码行业的国家标准由全国信息安全标准化技术委员会（信安标委）WG3工作组为依托，将密码行业标
2020-08-31 23:03:39
2772
原创 商用密码算法简介
商用密码算法简介商密算法概述对称密码算法对称算法概述序列密码和分组密钥的区别分组密码的工作模式公钥密码算法公钥密码算法模型SM2公钥算法SM9公钥算法对比杂凑算法概述密码杂凑算法的应用对比商密算法概述现代密码技术中，常见的密码算法包括对称密码算法、公钥密码算法和杂凑算法三种。常见的对称算法包括ZUC、SM1、SM4、SM7、DES、TDES、AES，常见的非对称算法包括SM2、SM9、RSA、ECC等，常见的密码杂凑算法包括SM3、SHA1、SHA256、SHA512、MD5等。上述所有算法中其中的Z
2020-08-15 19:22:51
6953
4
原创 技术工作总结报告&安全性设计报告&用户手册如何编写
技术工作总结报告&安全性设计报告&用户手册 编写说明前言技术工作总结报告1项目概述2研制背景和意义3主要研制过程4设计原则5组成框图6工作原理7工作流程8关键技术和创新点入侵式安全9国内外同类产品比较10逻辑框图和电路原理图11主要器件及说明12主要技术及指标13主要开发人员名单安全性设计报告1安全性需求分析2安全性设计1密码算法2密钥管理3密码协议4 角色及其策略管理5 软件安全6硬件安全7应用安全8运行安全9研发管理生产安全10其他安全性设计3安全性分析与评估用户手册写在最后前言在
2020-07-20 12:49:32
2312
GM/T 0005-2021和GM/T 0062-2018随机数检测工具
2023-07-25
EAN-UCC-128和EAN13条形码.zip
2021-01-07
SM9算法源代码C语言.zip
2020-08-10
SM3算法源代码C语言.zip
2020-08-10
SM2算法源代码C语言.rar
2020-08-10
商用密码产品认证-密码模块分级检测申请材料编写说明 - 初稿文档.docx
2020-06-30
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人