某系统商用密码应用改造设计

任兴 杜兴华

摘要：为响应国家商用密码政策及密码应用推广要求，按照商用密码规划试点要求，基于商用密码应用改造需求，设计密码应用方案，提供密码支撑服务与密码应用服务。采用合规的密码技术、模块及产品，设计密码支撑保障体系，并开展密码应用合规性评估。

关键词：商用密码;密码技术;合规性评估

中图分类号：G642      文献标识码：A

文章编号：1009-3044（2021）15-0062-03

1 背景

2018年中办国办下发《金融和重要领域密码应用与创新发展工作规划（2018-2022年）》厅字[2018]36号明确指出，在金融和重要领域等13个重点方向大力推进密码全面应用。为响应国家商用密码政策及密码应用推广要求，按照商用密码规划试点要求，对某系统进行商用密码改造工作，并最终开展密码使用合规和安全性评估。

2 系统现状分析

2.1 信息资源分析

系统后台登陆方式为用户名、密码登录，权限根据不同用户组进行分配，统一管理。主要涉及的信息资源是用于后台用户身份认证的身份鉴别信息，支撑系统的系统基础信息以及用于提供给公众的发布信息。

2.2 密码应用现状分析

某系统已经通过等级保护三级测评，结合等级保护测评提出的整改建议，涉及密码应用的环节主要是后台管理端，目前各类后台角色使用HTTP方式登录系统，在系统登录时通过用户名、口令和验证码方式进行身份鉴别，登录页面采用了浏览器JS通过MD5实现提交口令的客户端加密传输。在内容管理时，通过HTTP明文方式进行传输。

3 商……