附录A
（资料性）
A.1密码服务集成于一体化密码服务平台
图A.1密码服务集成于一体化密码服务平台
该方式的特点在于：典型密码功能和通用密码功能均集成在同一密码服务支撑中间件中，此类中间件可形象地称为一体化密码服务支撑平台；对应用来说，一体化密码服务支撑平台是透明的，应用仅能看到平台提供的密码功能接口；多个规模较小的应用系统可以使用该方式来获取密码支撑服务。
A.2密码服务集成于独立服务器
图A.2密码支撑中间件集成于独立服务器
该方式的特点在于：密码服务支撑设计集成在特定硬件设备中，既有签名验签服务器、加密解密服务器等提供通用密码功能的设备，又有身份鉴别服务器、单点登录服务器等提供典型密码功能的设备。一般来说，具备通用密码功能的设备，其硬件载体为密码设备；具备典型密码功能的设备，其硬件载体可为密码设备或普通服务器。 A.3密码服务集成于应用系统
图A.3密码支撑中间件集成于应用系统
该方式的特点在于：密码服务支撑设计集成在应用系统并与其一同部署在应用服务器中，一般由应用系统开发商设计开发。
附录B
（资料性）
密码应用功能设计
保护实体身份真实性的主要方式是身份鉴别，基于密码技术的鉴别方式包括但不限于基于对称密码的身份鉴别、基于非对称密码的身份鉴别、基于杂凑算法的身份鉴别。此外，密码技术还可以与静态口令、生物特征等身份鉴别技术相结合，实现多因素鉴别。
a)基于对称密码的身份鉴别，其设计时满足以下技术要求：
身份鉴别机制建议遵循GB/T15843.2；
1)作为实体身份凭证的对称密钥或其存储介质与实体身份标识建立可核实的绑定关系；
2)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储作为实体身份凭证的 对称密钥，并使用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、智能
IC卡类、电子标签芯片类、服务器密码机类、PCI-E/PCI密码卡类、金融数据密码机类产
品，以及安全门禁系统等。
b)基于非对称密码的身份鉴别，其设计时满足以下技术要求：
1)身份鉴别机制建议遵循GB/T15843.3；
2)作为实体身份凭证的公钥证书能准确标识实体身份；
医用压片机3)作为实体身份凭证的公钥证书由可信任证书认证系统签发；在其使用时进行验证，验证失
败则身份鉴别失败；
4)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储作为实体身份凭证的
非对称密钥对及公钥证书，并使用其进行密码运算；可选用的密码产品类型包括智能密码
钥匙类、PCI-E/PCI密码卡类、服务器密码机类、安全认证网关类、签名验签服务器类产
品等。
c)基于密码杂凑算法的身份鉴别，其设计时满足以下技术要求：
1)身份鉴别机制建议遵循GB/T15843.4或使用动态口令技术进行身份鉴别，动态口令系统
设计建议遵循GB/T38556，包括动态令牌、认证系统和密钥管理系统三部分；
2)作为实体身份凭证的密钥或动态令牌与实体身份标识建立可核实的绑定关系；
3)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储作为实体身份凭证的
密钥数据，并使用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、动态令
牌类、PCI-E/PCI密码卡类、服务器密码机类产品，以及动态令牌认证系统等。
d)使用密码技术结合静态口令的多因素身份鉴别，其设计时满足以下技术要求：
1)可采用对称算法、杂凑算法或非对称算法保护静态口令在传输过程中的安全性，在传输时，
静态口令结合如挑战码、随机数、时间戳等随机因子进行密码运算，确保其能够防截获、
防假冒和防重用；
2)作为实体身份凭证的静态口令在存储时与实体身份标识建立可核实的绑定关系，并采用密
码技术实现机密性和完整性保护；
3)采用经商用密码认证机构认证合格的密码产品对静态口令进行机密性和完整性保护，并使
防滑垫片
用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、PCI-E/PCI密码卡类、
服务器密码机类、其他密码模块类产品等。
e)使用密码技术结合生物特征的多因素身份鉴别，其设计时满足以下技术要求：
1)鉴别过程建议遵循GB/T38542，生物特征信息若涉及传输，结合如挑战码、随机数、时
间戳等随机因子进行密码运算，确保其能够防截获、防假冒和防重用；
2)作为实体身份凭证的生物特征在存储时与实体身份标识建立可核实的绑定关系。
3)采用经商用密码认证机构认证合格的密码产品对生物特征信息进行机密性和完整性保护，
并使用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、安全芯片类、
PCI-E/PCI密码卡类、服务器密码机类产品等。
B.2完整性保护设计指南
基于密码的完整性保护技术包括但不限于基于杂凑的完整性保护、基于消息鉴别码的完整性保护和基于数字签名的完整性保护。
注：存储完整性保护的数据既涉及存储于物理存储介质的数据，又涉及存储于逻辑数据结构中的数据。
B.2.1传输的完整性保护
传输的完整性，保障数据在传输过程中的完整性，防止非授权篡改。
a)基于消息鉴别码的传输完整性保护，其设计时满足以下技术要求：
1)消息鉴别码机制建议遵循GB/T15852系列标准，其使用的密码算法建议遵循GB/T32905
或GB/T32907；
2)接受方在对接收到的被保护数据进行处理前，校验其传输完整性；若发现被保护数据的传
输完整性被破坏，应进行告警；
3)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储密钥数据，并使用其进
行密码运算；可选用的密码产品类型包括智能密码钥匙类、PCI-E/PCI密码卡类、SSL VPN
产品/安全网关类、服务器密码机类产品等。
b)基于数字签名的传输完整性保护，其设计时满足以下技术要求
1)使用获得国家密码管理主管部门许可的密码服务机构颁发的签名证书，或使用自建证书认
证系统颁发的签名证书，自建证书认证系统建议遵循GB/T25056；
2)接收方在对收到的被保护数据进行处理前，验证发送方的签名证书；验证通过后，校验被
保护数据的传输完整性；若发现被保护数据的传输完整性被破坏，应进行告警；
3)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储数字签名私钥，并其使
用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、PCI-E/PCI密码卡类、
SSL VPN产品/安全网关类、签名验签服务器类、服务器密码机类产品等。
B.2.2存储的完整性保护卷染机
存储的完整性，保护数据存储的完整性，防止非授权篡改。
a)基于消息鉴别码的存储完整性保护，其设计时满足以下技术要求：
1)消息鉴别码机制遵循GB/T15852系列标准，其使用的密码算法遵循GB/T32905或GB/T
32907；
2)具备主动校验被保护数据完整性的功能；可根据需求，提供定期校验被保护数据完整性的
功能；
3)若发现被保护数据的存储完整性被破坏，应进行告警；
4)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储密钥数据，并使用其进
行密码运算；可选用的密码产品类型包括智能密码钥匙类、PCI-E/PCI密码卡类、服务器
密码机类产品等。
b)基于数字签名的存储完整性保护，其设计时应满足以下技术要求：
1)使用获得国家密码管理主管部门许可的密码服务机构颁发的签名证书，或使用自建证书认
证系统颁发的签名证书，自建证书认证系统应遵循GB/T25056；
2)具备主动校验被保护数据完整性的功能；可根据需求，提供定期校验被保护数据完整性的
功能；
3)若发现被保护数据的存储完整性被破坏，应进行告警；
4)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储数字签名私钥，并其使
用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、PCI-E/PCI密码卡类、
签名验签服务器类、服务器密码机类产品等。
c)基于杂凑算法的存储完整性保护，其设计时应满足以下技术要求：
1)使用的杂凑算法应遵循GB/T32905；
2)被保护数据应与杂凑值不在同一存储介质中保存；
3)具备主动校验被保护数据完整性的功能；可根据需求，提供定期校验被保护数据完整性的
功能；
4)若发现被保护数据的完整性被破坏，应进行告警；
5)采用经商用密码认证机构认证合格的密码产品进行密码运算；可选用的密码产品类型包括
智能密码钥匙类、安全芯片类、PCI-E/PCI密码卡类、服务器密码机类产品等。
d)基于可信计算的存储完整性保护，其设计时应满足以下技术要求：
1)使用的杂凑算法应遵循GB/T32905，使用的可信密码模块应遵循GM/T0012；
2)系统启动前，应基于杂凑算法建立从引导程序、操作系统到应用程序的信任链；
3)若发现被保护数据的完整性被破坏，应进行告警；
4)采用经商用密码认证机构认证合格的可信密码模块；可选用的密码产品类型包括可信计算
3d涂鸦笔密码支撑平台类产品。
B.3机密性保护设计指南
基于密码的机密性保护技术包括但不限于基于对称密码的机密性保护和基于非对称密码的机密性保护。
热风锅炉
注：存储机密性保护的数据既涉及存储于物理存储介质的数据，又涉及存储于逻辑数据结构中的数据。
B.3.1传输的机密性保护
传输的机密性，保护数据在传输过程的机密性，防止被窃取。
a)基于对称密码的传输机密性保护，其设计时应满足以下技术要求：
1)对称密码算法使用应遵循GB/T17964、GB/T32907、GB/T36624；
确保通信双方共享对称密钥建立的安全性，保护方式包括但不限于密钥交换协议、数字信封等；采用密钥交换协议的保护方式可遵循GB/T32918.3、GM/T0044.3；采用数字信封的保护方式可遵循GB/T 32918.4、GM/T0044.4；
2)采用经商用密码认证机构认证合格的密码产品作为存储介质来存储对称密钥，并使用其进
行密码运算；可选用的密码产品类型包括智能密码钥匙类、PCI-E/PCI密码卡类、SSL VPN
产品/安全网关类、服务器密码机类产品等。
b)基于非对称密钥的传输机密性保护，其设计时应满足以下技术要求：
1)非对称算法使用应遵循GB/T32918.4；加密数据格式应遵循GB/T35276；
>
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议