密码专家刘平关于密码应用方案设计的思考
随着近年密评工作的推进，“密码应用方案”已成为责任单位、承建单位和测评单位关注的一个重点：
各相关单位是信息系统密码部署和建设的重要依据。
是对信息系统开展密评工作的重要依据。
是建立信息系统密码管理策略和制度的重要依据。
也是判定“宜”是否适用的重要依据。
关于“密码应用方案”究竟应该如何写，写到什么程度，业界正展开深入讨论，相关标准也在编制过程中。
在“2021‘因密而安’密码大兴峰会”上，密码专家刘平在会上做了“密码应用方案——落实GB/T 39786要求的基础条件”的主题演讲。刘平首次系统提出了根据责任主体不同分别设计方案的思路：针对计算平台环境，设计密码解决方案；针对密码支撑环境，设计密码支撑方案；针对各类业务系统，设计密码应用方案。
现将刘平演讲的PPT内容分享给各位密友，以期共同学习探讨。其中内容仅为专家个人意见，未有任何官方指导。
密码应用方案——落实GB/T 39786要求的基础条件
密码应用方案的作用
是信息系统密码部署和建设的重要依据。
是对信息系统开展密评工作的重要依据。
是建立信息系统密码管理策略和制度的重要依据。
也是判定“宜”是否适用的重要依据。
GB/T 39786的相关要求
应根据密码相关标准和密码应用需求，制定密码应用方案。
应根据密码应用方案确定系统涉及的密钥种类、体系及其生存周期。
应根据密码应用方案建立相应密钥管理规则。
应按照应用方案实施建设。
密码应用方案的设计原则
依照GB/T 39786，结合信息系统的实际情况进行设计
总体性原则---顶层设计，明确定位。
科学性原则---整体规划，合理布局。
完备性原则---符合要求，满足需求。
可行性原则---切合实际，便于实现。
应根据责任主体不同分别设计方案
针对计算平台环境，设计密码解决方案。
针对密码支撑环境，设计密码支撑方案。
针对各类业务系统，设计密码应用方案。
01、密码解决方案
目的：使用密码技术，保障平台安全。
范围：按照GB/T 39786 中针对物理和环境安全、网络和通信安全、设备和计算安全提出的要求，结合信息系统具体环境、等级和需求设计。属于平台的资产，且/或对应用透明的服务，也在该方案中设计。
对象：
门禁/监控数据
对外通信信道加密
计算机操作系统/数据库访问控制策略
运维人员的身份和权限管理数据
运维日志记录
远程设备接入认证
跨平台数据交换
为业务系统统一提供的存储服务和云桌面服务等
主要内容：
密码服务机构的选择，服务内容和服务策略。
密码产品清单、部署位置、配置和使用策略。
密码设备管理员的设置和权限。
密码设备的密钥配置和密钥更新、备份、恢复、介质保管等策略。
远程设备接入的认证机制、数据加密机制。
运维人员登录的认证机制、人员信息和权限的保护机制。
运维日志记录的保护机制。
各机制实现的数据结构。
各机制遵循的标准。
02、密码支撑方案
目的：为平台上的各类应用提供密码支撑。
范围：
为应用提供密码功能服务。
为用户提供密码资源调度。
为租户提供密钥管理支持。
主要内容：
密码服务机构的接入方式和服务策略。
支持的密码体制和密码算法，例如：
PKI/证书体制SM2/3/4
PKI/标识体制SM9/3/4
对称密钥/主密钥体制SM1/4
支持的密码支撑方式，例如：
租密码机方式
租密码服务器方式
租密码服务方式
提供的密码功能，例如：
实体鉴别
签名验签
加密解密
时间戳
电子印章
接口和功能遵循的标准，例如：
GM/T 0019- 通用密码服务接口规范
GM/T 0020- 证书应用综合服务接口规范
GM/T 0033- 时间戳接口规范
GM/T 0029- 签名验签服务器技术规范
GM/T 0031- 安全电子签章密码技术规范
GM/T 0032- 基于角色的授权管理与访问控制技术规范
GB/T 15843- 信息技术 安全技术 实体鉴别
按照规划部署密码资源，例如：
全网统一部署
分部门散装部署
密码资源接入平台的方式，例如：
以独立的形态，不占用平台的任何资源。
非独立的形态，借用或租用平台的计算资源、网络资源。
密钥管理机制，可选择：
租户自行管理，支撑平台提供管理界面。
租户委托支撑平台代管。
支撑平台的自身安全性设计，包括：
密钥安全
访问安全
管理安全
租户间的隔离安全
设计要点：一般情况下，不要与密码解决方案共用密码资源，至少在逻辑上和管理上要分开。
03、密码应用方案
目的：使用密码功能，解决应用安全问题
范围：每一个应用（业务）系统都应设计自己的密码应用方案，按照GB/T 39786中应用和数据安全提出的要求，结合应用系统具体需求设计。
主要内容：
确定密码体制。
梳理业务流程，根据流程安全需求，为关键环节设计保护机制。
梳理业务数据，根据数据安全需求，为重要数据设计保护机制。
梳理管理对象（如文件、证照、票据、病历、采集的数据、控制指令等），根据安全需求，为其设计安全机制。
根据角色和访问控制，为其权限和访问策略等数据设计保护机制。
根据审计策略，为日志记录设计安全机制。
为角色分配密钥，明确密钥载体，设计系统的密钥管理策略。
可遵循的密码标准，如：
数据加密，GB/T 17964 信息安全技术 分组密码算法的工作模式
加密及签名数据格式，GB/T 35275 信息安全技术 SM2密码算法加密签名消息语法规范
使用的数字证书，GB/T 20518 信息安全技术 公钥基础设施 数字证书格式规范
针对文件系统，GM/T 0055 电子文件密码应用技术规范
设计要点：
所有的保护机制，用到加密的，应指明加密算法、加密模式（包括填充模式）、密钥属性等。
所有的保护机制，用到签名的，应指明签名算法、签名机制（签什么，谁来签，签在哪）。
所有的保护机制，都会改变被保护对象原有的数据结构，应设计带安全机制的数据结构。
实现保护机制用到的密码功能，由密码支撑方案提供。
用户登录的身份鉴别功能，由密码支撑方案提供。
一般情况下数据传输安全和存储数据安全，由密码解决方案负责，有单独需求或平台没有提供的，可在本方案中设计信源加密。
一般情况下确定了密码体制，就确定了密钥体制，方案中只需要关注密钥由谁产生，给谁用，何时用，何时更换，谁负责备份，谁负责保管备份材料，怎么保管，什么情况下恢复，恢复的流程等，统称为密钥管理策略。
举例－电子票据对象
安全需求：
电子票据的真实性－权威的发行机构
指定的票据签发人－谁可以填写票据
指定的票据使用人－票据开给谁
票据内容的完整性－开出后不可篡改
票据签发人对开出的票据及内容不可否认
非票据签发人开出的票据无效
非票据的使用人不能使用该票据
安全机制设计——票据的数据结构：
举例-企业信用红黑库管理系统
梳理出的密码需求
进库的依据---来源的真实性完整性非否认性
进库的内部审核批准---流程和行为抗抵赖
入库的操作---行为抗抵赖
信息发布到政府网站---信息的真实性完整性
防止私下违法操作---日志记录的真实性完整性
根据需求设计的方案：
采用PKI/证书密码体制，给机构和内部人员发数字证书
设计了各种保护机制、数据结构和密钥管理策略。
使用平台提供的密码资源和功能
统一身份鉴别、签名验签、时间戳、数据存储服务
内外两个平台间的数据交换服务
总结
按资产及职能划分责任主体，分别设计方案，则方案的针对性强，适用性好。
从上述介绍可以看到：
第一类方案可以套路化，形成套路后方案的变化只是产品和部署。
第二类方案可以产品化，形成产品后方案的变化只是形态和接入。
第三类方案只能个性化，但它是解决信息系统应用安全的关键。
来源：刘平
注：内容均来源于互联网，版权归作者所有，如有侵权，请联系告知，我们将尽快处理。
