重点推荐 | 信息系统密码应用高风险判定指引

由中国密码学会密评联委会修订形成，2021年12月发布的版本《信息系统密码应用高风险判定指引》。该指引文件旨在指导、规范信息系统密码应用的规划、建设、运行及测评。高风险判定指引指引中定义的高风险项，在实际密码改造与测评过程中应避免高风险项的存在，测评要求是达到60分+，且无高风险项。

一、概述

该指引通过指标要求、适用范围、安全问题、可能的缓解措施和风险评价等方面，对信息系统密码应用的高风险进行判定。由于信息系统密码应用场景的复杂性，指引无法涵盖所有高风险安全问题，因此在具体判定时应结合信息系统的实际情况。

二、通用要求

2.1. 密码算法

指标要求：信息系统中使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求。

安全问题：

采用存在安全问题或安全强度不足的密码算法对重要数据进行保护，如MD5、DES、SHA-1、RSA（不足2048比特）等。

采用安全性未知的密码算法，如自行设计的密码算法，经认证的密码产品中未经安全性论证的密码算法。

风险评价：上述安全问题一旦被威胁利用后，可能会导致信息系统面临高等级安全风险。

2.2. 密码技术

指标要求：信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。

安全问题：采用存在缺陷或有安全问题警示的密码技术，如SSH 1.0、SSL 2.0、SSL 3.0、TLS 1.0等。

采用安全性未知的密码技术，如未经安全性论证的自行设计的密码通信协议，经认证的密码产品中未经安全性论证的密码通信协议等。

风险评价：与密码算法相同，这些问题也可能导致信息系统面临高等级安全风险。

2.3. 密码产品和密码服务

指标要求：信息系统中使用的密码产品、密码服务应符合法律法规的相关要求。

安全问题：

1）采用自实现且未提供安全性证据的密码产品。

2）采用存在高危安全漏洞的密码产品，如存在Heartbleed漏洞的OpenSSL产品。

3）密码产品的使用不满足其安全运行的前提条件。

4）选用的密码服务提供商不具有相关资质。

5）存在密钥管理相关安全问题。

风险评价：这些问题同样可能导致信息系统面临高等级安全风险。

三、信息系统密码应用高风险判定指引

以下内容是基于信息系统密码应用高风险判定指引相关原文文件进行归纳总结，基础内容以原文为主，具体如下：

3.1 高风险判定原则

基于GB/T 39786 信息安全技术  信息系统密码应用安全性评估中，对于关键测评项进行测评时，应无高风险，可通过缓解措施的方式以降低风险可能造成的安全事件风险。

3.2 高风险项

针对高风险项的存在，解决办法有两种：

1、采用等效措施，即达到同等效果的密码改造与集成措施；

2、采用缓解措施，即采用其他非密码技术来缓解高风险项带来的安全威胁。

3.3 通用要求—密码算法

3.4 通用要求—密码技术

3.5 通用要求—密码产品和服务

3.6 物理和环境安全—身份鉴别

3.7 网络和通信安全—身份鉴别

3.8 网络和通信安全—通信过程中重要数据的机密性

3.9 设备和计算安全—身份鉴别

3.10 设备和计算安全—远程管理通道安全

3.11 应用和数据安全—身份鉴别

3.12 应用和数据安全—重要数据传输机密性

3.13 应用和数据安全—重要数据存储机密性

3.14 应用和数据安全—重要数据存储完整性

3.15 应用和数据安全—不可否认性

3.16 密码应用管理要求—具备密码应用安全管理制度

3.17 密码应用管理要求—制定密码应用方案

声明：本文来自商密之巅，版权归作者所有。文章内容仅代表作者独立观点，不代表沃通CA立场，转载目的在于传递更多信息。如有侵权，请联系删除。