从评估到落地的系统化实践指南
目录导读
- 密评密码应用整改的背景与意义
- 密评密码应用整改的核心流程
- 常见密码应用问题及整改方案
- 整改实施的关键技术要点
- 整改后的验证与持续改进
- 常见问题问答（FAQ）
密评密码应用整改的背景与意义
随着《密码法》、《网络安全法》及《商用密码管理条例》等法规的深入实施，密码应用安全性评估（简称“密评”）已成为党政机关、关键信息基础设施运营者及重要信息系统建设单位的法定要求，密评不仅是对密码应用合规性的一次全面体检，更是保障数据安全、身份可信、行为不可否认的重要手段。
为何必须整改？
- 合规红线：未通过密评或整改不到位的系统，将面临监管处罚、通报批评甚至关停风险。
- 安全能力提升：密码应用中的弱算法、过期协议、错误配置等问题，是攻击者窃取数据、伪造身份的突破口。
- 业务连续性保障：密码服务若在关键时刻失效（如证书过期导致系统崩溃），将直接造成业务中断。
密评密码应用整改的核心流程
整改并非简单的“打补丁”，而是一个从评估到闭环的系统工程，建议按照以下六步法推进：
差距分析与问题梳理
依据《GM/T 0054-2018 信息系统密码应用基本要求》或行业标准，逐项对照密评报告，列出所有不符合项，重点关注：
- 算法合规性：是否仍使用MD5、SHA-1、RC4、3DES等已淘汰算法。
- 密钥管理：是否采用硬编码密钥、密钥未定期轮换、缺少备份与销毁机制。
- 协议安全性：TLS1.0/1.1、SSHv1等不安全协议是否禁用。
制定整改优先级
根据风险等级,将问题分为：
- 紧急：涉及高危漏洞（如明文传输、弱口令、未加密数据库）。
- 重要：影响合规但风险可控（如算法升级、证书管理流程优化）。
- 改进：非强制但建议提升（如引入HSM硬件加密机、实施国密SM系列算法）。
编写整改方案
针对每个问题,明确：
- 整改目标
- 技术实现路径（如替换算法、升级库、配置变更）
- 责任部门与时间节点
- 回退预案（若整改失败如何恢复）
分阶段实施
建议采用“先核心后外围、先网络边界后内部应用”的策略：
- 第一阶段：关闭不安全协议、升级密码库、替换弱算法。
- 第二阶段：改造密钥管理系统、引入国密算法（如SM2/SM3/SM4）。
- 第三阶段：优化身份认证与数字签名流程，完善日志审计。
严格测试与验证
- 单元测试：验证单个密码功能（如加密、签名的正确性）。
- 集成测试：确认密码组件在系统整体中的兼容性。
- 回归测试：确保原有业务功能不受影响。
- 渗透测试：模拟攻击验证防护效果。
整改报告与复评
将整改过程、变更记录、测试报告提交至密评机构，申请复评，通过后，建立常态化运维机制，防止“旧病复发”。
常见密码应用问题及整改方案
问题1：仍使用弱密码算法或协议
典型表现：
- 数据库密码采用RC4/MD5加密存储。
- 网站仍支持TLS1.0、SSLv3协议。
- PDF签名使用SHA-1哈希。
整改方案：
- 将加密算法升级为SM4（国产对称）、AES-256（国际合规）。
- 哈希算法改用SM3或SHA-256以上。
- 数字签名使用SM2或RSA-2048以上。
- 在服务器配置中禁用TLS1.0/1.1，仅启用TLS1.2/1.3。
问题2：密钥管理混乱
典型表现：
- 密钥硬编码在代码或配置文件中。
- 同一密钥用于多个系统或长期不轮换。
- 缺少密钥备份与恢复机制。
整改方案：
- 引入密钥管理系统（KMS），实现密钥的集中生成、分发、轮换、销毁。
- 密钥存储于硬件安全模块（HSM）或安全密码卡，杜绝明文泄露。
- 建立密钥生命周期管理流程,强制180天或90天轮换一次。
问题3：身份认证单因素且无抗抵赖
典型表现：
- 系统仅使用用户名+密码登录，未启用双因素认证。
- 关键操作（如转账、审批）无数字签名，无法追溯责任。
整改方案：
- 集成基于国密的SM2证书认证,实现强身份鉴别。
- 对关键业务操作进行数字签名,并保存签名数据作为电子证据。
- 使用时间戳服务确保签名行为的不可否认性。
整改实施的关键技术要点
国密算法的平滑迁移
难点：很多开源库或旧系统默认仅支持国际算法。
做法：
- 使用支持国密的加密SDK（如腾讯云KMS、阿里云加密服务）。
- 在应用层封装一个密码抽象层,底层通过配置文件决定使用SM还是AES，降低替换成本。
- 对存量数据：制定“旧算法解密→新算法加密”的迁移窗口，避免数据丢失。
HTTPS改造中的证书管理
常见错误：
- 使用自签名证书或过期证书。
- 未安装中间证书导致链不完整。
整改要点：
- 购买或申请权威CA签发的SM2证书（国内）或RSA证书。
- 配置证书链完整,并启用OCSP装订（OCSP Stapling）。
- 使用acme.sh等工具自动化证书续期，防止过期。
日志审计中的密码行为记录
要求：密评强制要求记录密码操作日志（如密钥生成、加密解密请求）。
实现：
- 在密码服务中间件中增加日志切面,记录时间、用户、操作类型、结果。
- 日志不能包含明文密钥或原始数据,需脱敏处理。
- 日志保存周期不少于6个月,并防止篡改。
整改后的验证与持续改进
验证方法
- 自动化扫描：使用工具（如Nmap、TestSSL、OWASP ZAP）验证协议、证书、算法。
- 手动测试：请第三方安全团队实施密码应用测试。
- 架构评审：邀请密码专家审查KMS设计、密钥分发流程。
持续改进机制
- 定期复查：每季度或半年进行一次密码应用自查。
- 应急演练：模拟密钥泄露、证书过期场景，测试恢复能力。
- 关注标准更新：国家密码管理局会发布新标准（如2025年可能发布的GM/T 0123新版本），及时对标调整。
常见问题问答（FAQ）
Q1：密评整改是否需要停服？
答：不一定，如果整改范围是独立组件（如密码库升级），可采用灰度发布或热迁移；若涉及底层加密协议或核心密钥架构变更，通常需要申请维护窗口，一般时长在2-8小时，建议提前评估影响范围，向监管部门提交停服计划。
Q2：所有系统都必须使用国密算法吗？
答：关键信息基础设施、政务系统等必须使用国密算法（SM2/SM3/SM4），商业系统可保留国际算法，但需确保不低于三级安全等级，建议双算法并行，兼容性更强。
Q3：整改后密评就一定能通过吗？
答：整改到位后，通过概率大幅提升，但最终结果取决于密评机构对合规细节的把握，建议在复评前，与评估机构进行一次“预评”，提前发现遗漏项。
Q4：没有专业密码团队，如何完成整改？
答：可采购商用密码产品（密码机、VPN、PKI系统）并委托集成商实施；或直接购买云上密码服务（如腾讯云、阿里云的国密解决方案），这些服务通常自带合规资质，能降低自建复杂度。
Q5：整改成本大概多少？
答：视系统规模而定，小型系统（1-3个应用）可能需要5-20万；中型系统（跨部门、多数据流）约20-100万；大型核心系统（涉及HSM、全网升级）可达数百万，建议将密码改造纳入网络安全预算的20%-30%。
密评密码应用整改绝不是一次性的“应付检查”，而是组织提升整体安全水位的关键契机，从“被检查”到“主动建设”，需要技术、管理、流程三管齐下，记住一条核心原则：合规是底线，但安全是目的，只有将密码能力内化为系统的安全基因，才能在新一轮的数字经济浪潮中行稳致远。
（如需获取本文提到的密评标准原文或整改模板，可前往国家密码管理局官网查阅）
