密码专家刘平关于密码应用方案设计的思考
随着近年密评工作的推进，“密码应用方案”已成为责任单位、承建单位和测评单位关注的一个重点：
各相关单位是信息系统密码部署和建设的重要依据。
是对信息系统开展密评工作的重要依据。
是建立信息系统密码管理策略和制度的重要依据。
也是判定“宜”是否适用的重要依据。
密码应用方案的作用
GB/T 39786的相关要求
密码应用方案的设计原则
依照GB/T 39786，结合信息系统的实际情况进行设计
总体性原则---顶层设计，明确定位。
科学性原则---整体规划，合理布局。
完备性原则---符合要求，满足需求。
可行性原则---切合实际，便于实现。
应根据责任主体不同分别设计方案
01
密码解决方案
门禁/监控数据 对外通信信道加密 计算机操作系统/数据库访问控制策略 运维人员的身份和权限管理数据 运维日志记录 远程设备接入认证 跨平台数据交换 为业务系统统一提供的存储服务和云桌面服务等
密码服务机构的选择，服务内容和服务策略。 密码产品清单、部署位置、配置和使用策略。 密码设备管理员的设置和权限。 密码设备的密钥配置和密钥更新、备份、恢复、介质保管等策略。 远程设备接入的认证机制、数据加密机制。 运维人员登录的认证机制、人员信息和权限的保护机制。 运维日志记录的保护机制。 各机制实现的数据结构。 各机制遵循的标准。
02
密码支撑方案
目的：为平台上的各类应用提供密码支撑。
范围：
为应用提供密码功能服务。 为用户提供密码资源调度。 为租户提供密钥管理支持。
密码服务机构的接入方式和服务策略。 支持的密码体制和密码算法，例如：
支持的密码支撑方式，例如：
提供的密码功能，例如：
接口和功能遵循的标准，例如：
按照规划部署密码资源，例如：
密码资源接入平台的方式，例如：
密钥管理机制，可选择：
支撑平台的自身安全性设计，包括：
03
密码应用方案
目的：使用密码功能，解决应用安全问题
范围：每一个应用（业务）系统都应设计自己的密码应用方案，按照GB/T 39786中应用和数据安全提出的要求，结合应用系统具体需求设计。
主要内容：
确定密码体制。 梳理业务流程，根据流程安全需求，为关键环节设计保护机制。 梳理业务数据，根据数据安全需求，为重要数据设计保护机制。 梳理管理对象（如文件、证照、票据、病历、采集的数据、控制指令等），根据安全需求，为其设计安全机制。 根据角色和访问控制，为其权限和访问策略等数据设计保护机制。 根据审计策略，为日志记录设计安全机制。 为角色分配密钥，明确密钥载体，设计系统的密钥管理策略。
数据加密，GB/T 17964 信息安全技术 分组密码算法的工作模式 加密及签名数据格式，GB/T 35275 信息安全技术 SM2密码算法加密签名消息语法规范 使用的数字证书，GB/T 20518 信息安全技术 公钥基础设施 数字证书格式规范 针对文件系统，GM/T 0055 电子文件密码应用技术规范
所有的保护机制，用到加密的，应指明加密算法、加密模式（包括填充模式）、密钥属性等。 所有的保护机制，用到签名的，应指明签名算法、签名机制（签什么，谁来签，签在哪）。 所有的保护机制，都会改变被保护对象原有的数据结构，应设计带安全机制的数据结构。 实现保护机制用到的密码功能，由密码支撑方案提供。 用户登录的身份鉴别功能，由密码支撑方案提供。 一般情况下数据传输安全和存储数据安全，由密码解决方案负责，有单独需求或平台没有提供的，可在本方案中设计信源加密。 一般情况下确定了密码体制，就确定了密钥体制，方案中只需要关注密钥由谁产生，给谁用，何时用，何时更换，谁负责备份，谁负责保管备份材料，怎么保管，什么情况下恢复，恢复的流程等，统称为密钥管理策略。
举例－电子票据对象
电子票据的真实性－权威的发行机构 指定的票据签发人－谁可以填写票据 指定的票据使用人－票据开给谁 票据内容的完整性－开出后不可篡改 票据签发人对开出的票据及内容不可否认 非票据签发人开出的票据无效 非票据的使用人不能使用该票据
举例-企业信用红黑库管理系统
梳理出的密码需求
进库的依据---来源的真实性完整性非否认性
进库的内部审核批准---流程和行为抗抵赖
入库的操作---行为抗抵赖
信息发布到政府网站---信息的真实性完整性
防止私下违法操作---日志记录的真实性完整性
根据需求设计的方案：
采用PKI/证书密码体制，给机构和内部人员发数字证书
设计了各种保护机制、数据结构和密钥管理策略。
使用平台提供的密码资源和功能
统一身份鉴别、签名验签、时间戳、数据存储服务
内外两个平台间的数据交换服务
按资产及职能划分责任主体，分别设计方案，则方案的针对性强，适用性好。
从上述介绍可以看到：
第一类方案可以套路化，形成套路后方案的变化只是产品和部署。
第二类方案可以产品化，形成产品后方案的变化只是形态和接入。
第三类方案只能个性化，但它是解决信息系统应用安全的关键。