《商用密码应用安全性评估FAQ》.docx

商用密码应用安全性评估 FAQ 中国密码学会密评联委会 首次发布日期：2021 年 12 月最近更新日期：2021 年 12 月 目录 1. 信息系统密码应用基本要求的等级 1 2. 应、宜、可测评指标把握 1 3. 经认证合格的密码产品中的密钥安全符合性判定 2 4. 物理和环境安全层面的测评对象识别和确定 2 5. 网络和通信安全层面的测评对象识别与确定 3 6. 设备和计算安全层面的测评对象 5 7. 设备和计算安全层面测评对象选取粒度 5 8. 远程管理通道安全 6 9. 合规密码产品身份鉴别、完整性相关指标的判定 7 10. 设备和计算安全层面的身份鉴别 7 11. 应用和数据安全层面的测评对象识别与确定 8 12. 访问控制信息的具体含义 8 13. 缺少密码应用方案的合规性判定 9 14. 商用密码产品认证证书过期的合规性判定 9 15. 具有认证证书型号的商用密码产品对应的模块等级 9 16. 有缓解措施的高风险判定 10 17. 报告中对于高风险缓解措施的体现 10 18. 双活机房的通信链路合规性判定 11 19. 云平台测评的责任和范围 12 20. 云平台和云上应用的测评方式和测评结论复用方式 12 21. 面向公众等网站的测评 15 22. 如何编写涉及应用和数据安全层面的测评内容报告 15 说明 本文件对商用密码应用安全性评估工作及相关标准中涉及的常见问题进行了整理和解答，以帮助相关人员更好的开展商用密码应用安全性评估工作。 本文件内容仅供参考，最终应以相关政策法规和标准规范为准。 编辑：张立花、肖秋林、郑昉昱、贾世杰、黎水林、王勇、范佳奇、刘健、刘军荣、冀利刚、杨宏志、李晨旸 审核：阎亚龙、马原、秦小龙、汪宗斌、罗鹏 本文件内容定期迭代更新发布，版本信息通过文件发布及更新日期记录表连续记录。有关问题和建议，可发送邮件至mplwh@。 文件发布及更新日期记录表 首次发布日期 2021年12月 第一次更新日期 第二次更新日期 …… 1. 信息系统密码应用基本要求的等级 l 背景： GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》对信息系统密码应用划分为自低向高的五个等级，参照GB/T 22239的等级保护对象应具备的基本安全保护能力要求，提出密码保障能力逐级增强的要求，用一、二、三、四、五表示。其中，从密码算法、密码技术、密码产品和密码服务的合规性方面，提出了第一级到第五级的密码应用通用要求， 从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面提出了第一级到第四级的密码应用技术要求，并从管理制度、人员管理、建设运行和应急处置四个方面提出了第一级到第四级的密码应用管理要求。 l 问题： 如何确定被测信息系统密码应用等级？ l 解答： GB/T 39786—2021中的密码应用等级一般由网络安全等级保护的级别确定。信息系统根据GB/T 22240—2020《信息安全技术 网络安全等级保护定级指南》确定等级保护级别时， 同步对应确定密码应用等级，即等保定级为第一级的网络与信息系统应遵循GB/T 39786第一级密码应用基本要求，等保定级为第二级的网络与信息系统应遵循GB/T 39786第二级密码应用基本要求，以此类推。对于未完成网络安全等级保护定级的重要信息系统，其密码应用等级至少为第三级。 2. 应、宜、可测评指标把握 l 背景： GB/T 39786对密码应用各项指标要求的力度，主要通过“应”“宜”“可”加以区分，具体实施时，需把握哪些是必须实现的、哪些是可以自行把握的。在“应”“宜”“可”三个指标中，“可” 和“应”的含义明确，但“宜”含义，在GB/T 39786中有其特殊性。 l 问题： 在密评实施中，如何理解和把握“宜”的指标要求？ l 解答： 依据GM/T 0115《信息系统密码应用测评要求》，据信息系统的密码应用方案和方案评估报告/评审意见，决定是否将“宜”的指标要求纳入标准符合性测评范围，具体如下： （1） 若信息系统未编制密码应用方案或在方案中未对“宜”的指标要求做明确说明，则 “宜”的指标要求纳入标准符合性测评范围。 （2） 若信息系统编制了密码应用方案，且方案通过评估，方案中明确了不适用的“宜” 的指标要求项，且有对应的风险控制措施说明的情况下。密评人员在测评时，应根据信息系统的密码应用方案和方案评估报告/评审意见，核实方案中的不适用指标要求项所采用的风险控制措施的适用条件，在实际的信息系统中是否被满足，且信息系统的实施情况与方案中 5 所描述的风险控制措施是否一致，若满足适用条件，该测评指标为“不适用”；若不满足适用条件，则应纳入标准符合性测评范围，进行测评和结果判定。 3. 经认证合格的密码产品中的密钥安全符合性判定 l 背景： GM/T 0115《信息系统密码应用测评要求》中，在通用测评要求中提出了“5.2密钥管理安全性”测评要求，其指标主要涉及密码产品/服务相关的内容。 l 问题： 经认证合格的密码产品，《信息系统密码应用测评要求》中“5.2密钥管理安全性”测评是否可以直接判定为“符合”？ l 解答： 不能直接判定为“符合”。信息系统采用经认证合格的密码产品仅仅是密钥管理安全性判定为“符合”的必要条件，还应当对以下内容进行核查： (1) 该密码产品的安全级别是否满足GB/T 39786 相应等级的要求，如GB/T 39786第三级的信息系统应当采用满足GB/T 37092第二级及以上安全要求的密码产品； (2) 由密码产品产生的密钥在该密码产品外部进行管理，是否进行了相应保护，如密钥在外部数据库中存储/备份/归档时是否进行了机密性和完整性保护； (3) 该密码产品是否按照产品配套的安全策略文档进行部署和使用，信息系统的密钥管理制度是否能够保证该密码产品被正确地部署和使用等。 4. 物理和环境安全层面的测评对象识别和确定 l 背景： GB/T 39786《信息安全技术 信息系统密码应用基本要求》在8.1节中要求“a)宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；b)宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；c)宜采用密码技术保证视频监控音像记录数据的存储完整性”。相应的，GM/T 0115《信息系统密码应用测评要求》在“6.1物理和环境安全” 中规定该安全层面的测评对象包括信息系统所在机房等重要区域及其电子门禁系统和视频监控系统。 l 问题： 如何确定该层面的测评对象？对于系统部署在非被测系统单位管辖范围之内的情况，如运营商机房、云服务提供商机房、其他单位或部门管辖的机房等，在物理和环境安全层面应如何判定该指标的适用性？如何开展密评？ l 解答： 物理和环境安全层面的测评对象为被测信息系统所在的物理机房，具体为物理机房的电子门禁系统和视频监控系统。 如果被测信息系统所在的物理机房采用多区域部署或被测信息系统重要资产分布在不同的物理机房中，那么针对该信息系统涉及的所有物理机房均应作为测评对象进行测评，密评人员需现场取证。 针对被测信息系统部署在被测系统单位管辖范围之外的情况，物理和环境安全层面仍然适用，即需要针对该安全层面进行测评。如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等通过了商用密码应用安全性评估，则可以复用商用密码应用安全性评估报告中“物理和环境安全”层面的相关测评结论；如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等未通过或未开展商用密码应用安全性评估，密评人员需现场取证，对于条件不允许的情况，可以要求IDC机房或云服务提供商机房等的运维方提供相关说明文件和证据以支撑测评结论。 5. 网络和通信安全层面的测评对象识别与确定 l 背景： 信息系统一般通过网络技术来实现与外界的互联互通，GB/T 39786《信息安全技术 信息系统密码应用基本要求》规定了信息系统在网络和通信安全层面的密码应用技术要求，这些要求涉及到通信的主体（通信双方）、信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备、组件和产品。 l 问题： 如何确定网络和通信安全层面的测评对象？ l 解答： 网络和通信安全层面的测评对象主要是针对跨网络访问的通信信道，这里的跨网络访问指的是从不受保护的网络区域访问被测系统。 可以从通信主体和网络类型两个方面来确定网络和通信安全层面的测评对象： (1) 网络类型：这里主要依据网络之间是否相对独立进行分类，如互联网、政务外网、企业专网等； (2) 通信主体：指的是参与通信的各方，典型的如客户端与服务端。例如，PC机上运行的浏览器与服务器上运行的web服务系统，移动智能终端上运行的APP与服务器上运行的应用系统；也可以是服务端与服务端，例如，IPSec VPN与IPSec VPN之间。 4 【场景示例】 下面以一个具体场景来描述测评对象的确定过程。 在一个信息系统中，通常应用包括前台应用系统和后台管理系统；系统运行的网络环境通常包括互联网、政务外网和办公内网，其中，办公内网也属于政务外网。该信息系统网络通信情况描述如下。 (1) 用户可以从互联网、政务外网、办公内网，使用非国密浏览器或国密浏览器通过 HTTPS协议访问前台应用系统； (2) 管理员可以从办公内网或使用VPN客户端通过内网SSL VPN接入办公内网后，再使用国密浏览器通过HTTPS协议访问后台管理系统； (3) 系统管理员可以从互联网先登录运维SSL VPN后，再通过堡垒机对服务器、密码产品等设备进行运维； (4) 信息系统可以通过IPSec VPN调用外部的密码资源（例如政务外网的数据加密服务）。 针对此场景，根据通信主体，梳理出对应的网络类型，形成以下表格。 服务端 客户端 前台应用系统 后台管理系统 内网SSL VPN 运维SSL VPN IPSec VPN 国密浏览器 互联网、政务 外网 办公内网 - - - 非国密浏览器 互联网、政务 外网 - - - - VPN客户端 - - 政务外网 互联网 - IPSec VPN - - - - 政务外网 根据上述表格描述，即可确定此信息系统网络和通信安全层面的测评对象。表中的每个元素表示通信主体可在某种网络类型下进行通信，例如表格第二行第二列表示：用户可在互联网和政务外网环境使用国密浏览器访问前台应用系统。由此可确定的两个测评对象为：互联网国密浏览器与前台应用系统之间的通信信道、政务外网国密浏览器与前台应用系统之间的通信信道。 根据以上的方法，此信息系统网络和通信安全层面的测评对象确定如下： 序 号 测评对象 描述 1 互联网国密浏览器与前台应用系统之间 的通信信道 用户从互联网使用国密浏览器通过HTTPS协议访问前 台应用系统，密码应用主要测评HTTPS协议。 2 政务外网国密浏览器与前台应用系统之 间的通信信道 用户从政务外网使用国密浏览器通过HTTPS协议访问 前台应用系统，密码应用主要测评HTTPS协议。 3 互联网非国密浏览器与前台应用系统之 间的通信信道 用户从互联网使用非国密浏览器通过HTTPS协议访问 前台应用系统，密码应用主要测评HTTPS协议。 4 政务外网非国密浏览器与前台应用系统 之间的通信信道 用户从政务外网使用非国密浏览器通过HTTPS协议访