典型密码服务协议和算法技术要求、政务云主要保护对象及密码安全需求、对称密钥和非对称密钥全生命周期管理方式.docx

附录A规范性）典型密码服务协议和算法技术要求衣A.1规定了特定安全层面中典型密码限务协议和算法的技术要求.表A1典型密码朋务协议和算法技术要求安全坦而安全指标技术变求应用场蛾示例亚法要求网络和通信”全山要数据传输机密性应对传输的明要坡感效据录用通信保邂性控制措施.主要针对跨网络出向的通伯伯道：运椎管理通遒,政务云运堆人员和云租户对政多云进行维护9?理、操作使用的通信道；用户访问业务应用通道.用户通过业务终送对业务应用进行访向的通伯伤道：政务云对等实体问的通信信道：K地质闷给访问的通信信&踏M络访何的Jff1.信信道一般来用链路加宙方式,应符介GB”38636中的要求:应使用SM2、SiM等IS过国家密码管理部门市府鉴定的加监目法对的要数镇传输过程的机密性进行保护.申要敛掘传输完整性应对传输的JR安岐感数幅采用通信完整性控耨指施：S果传输数据的完整性被破坏，发送方应Ifi传.跨网络访问的遍倒倒道般用里路加密方式f¾nGB,''T386的中的卷求：应使用SW3等通过国家滋网行理部门布衣笠定的哈拈匏法对水要效据传输过程中的浇祭性进行保护.血用和数据安全皿娶数据传输机密性应对传输的童襄敏啄St推枭用传输机密性控制挤施,结令通过评估的密码应用方案烷合都定关次业务应用以及关谜业务应用中的关田数掷力保护对熟.关健牧宛包含但不限于叁例数据.ifi娈业务数索.ft要审计数施、个人跛密伟总以及法搐法规规定的其他JR要数据类S1.应使川SM2.SMt等地过国家宓码管理部门审近誓定的加流算法对小要数据他锥过程中的机生性进行保护.41要数据传够完整性应对传输的响要敏感数据采用传输完整性控制措施，加果佞输皎据的完照性被破坏发送方应英传.应使Mm1.AC-SM3等哈希算法,或使用SM算法的CBC模式计虢W：ft,或使川SC袜法警名验苏的方式对策要数据传筠过程中的完禁性进行保护，Hi要敢榭存储机密性应对存信在文件.数据*中的事更敏感数相采用效猊机密性控制搭龟,应使用SM2、SNt等通过国*滋码管理笫门市作签定的加班打法对日要敞JK存储过程中的机密性进行保护安全层面安全指标技术要求他用场景示例算法要求成变数据自他完瞥性应对存怙在文件、数据序中的at娶取博败据采用数据完鳖性控IW指地.应使1111MAC-SM3算法计洋小要敬粼哈希依.或使用SMI裁法的CM.模式计粽JMC值.或隹用SM2诉法签名验签的方式对业要数则存储过程中的完整性进行保护.不可否认性在可傥涉及法M货任认定的应用中,应对数据原发证据和数据接收证据是用不可否认性拄IW指6.业务应用以及提供不可否认性功能的密码产品.必要时，应通过电广城戊等方式对涉及数据处理过程采阳抗抵检性控W措施.附录B资料性）政务云主要保护对意及密码安全需求衣B1给出了政务公主要保护对象及其密码安全衢求，表B.1政务云主要保护对象及密码安全需求序号相关业务保护对象保护对象描述密码安全需求1收分云资源Vt理平台/云上业务应用管理/J8蚁机迁格、快照恢身份饕别怡息1）政务云管理员、云祖户登录政务云资馔首'FE平台、密科资源汴理平台笥的用户名.口令.2）如果涉及动态口令、短信整证列等幺位鉴别方式,还应注点对相关一次性口令的传输机密性保护,防止中间人攻击.IJiX实性3传输机索性3存俅机宓性口传输完整性口存站完整性Z）不可否认性改芬云的底娈数据1）施像文件和快Rft文件中的放!B倒息、云资源管理般由信息殍丑要业务数据.2）JR要审计Ik据3）政务云行理员.云租户的身份证号、r机，夕等个人做咯信息.ZIjX实性口传输机密性口存Wi机变性习传输完整性日存储完整性D不可否认性2攻务云费海管拜平台首理云上业务应用的市,要:指令虚拟机监控揩WI在龙拟机迁移过程中的指令等政务云费源游FN平台、*眄资涉汗理平价内部的小要指令.EI其实性口传输机密性存钻机变性n传输完静性口存俅完整性口不可否认性3也像和快照文件1）负像文件2）快照文件口我实性传输机变性口存毡机索性口传粕完整性寸存站完壑性口不可否认性序号相关业务保护对象保驴对象描述密码安全需求4FI志记录1）通用设备、网络及安全设备.邂码设在、各类虚拟设;笄设品中的H志记录，2）政务云资源辑理平台管理云上业务应川的电要业务日志.Z1.其实性71传输机密性存站机变性口传输完整性m存储完整性口不可否认性5访问拄制怕息1）网络边界的VPN中的访问控IW列表、防火境的访问控Iw列表、边界路由的访日控制列我等进行网多边界访问控制的信息。2）物理和或拟设右携作东统的系统权限访向控IW信。，系统文件目录的访问投川信息.数柢库中的数据访“控刖#:恩、里垄粗等第；方蛆悔系统中的权限访"控制僧U蜕3）应用系统的权网、标界笥能够决定系统吨用访何捽刎的措福等信息.0克实性传输机变性Z）存储机密性口传输完整性外存砧完壑性D不可否认性6用要价忍负双安全标记D通用设备.网络及安全设备.空码设番、各类触损设备等设备中的小要信:息资淑安全标记.2）政务云资源管理平台管理云上业务应用的Ift要信把资源安全标记.n实性口传粕机密性n存站机邂性传胸完整性习存钻完解性7IR要可执行程序通用设备、网络及安全设备、密用设备、各美虚拟收招等设招中的术要可执行程保。ZJ1.X实性口传粕机密性D存姑机密性口传输先整性3存储完IP性Z）不可否认性8现欣位控杵性汜录政分IK所在物理机用呼戊变物理区域的视顿15控音像记录.:J其实性口传Ift机密性存储机变性口传输完整性m存俅完整性不可否认性序号相关业务保护对象保驴对象描述密码安全需求9电子门禁泰统边出记录ftz<ffi在物理机店等R«物理区域的电广门禁廉统的进恨记狼.Z1.其实性71传输机密性存站机变性口传输完整性m存储完整性口不可否认性10进人啦要粉时!区域的人犯的。份整加逃入政务云所在物理机房等，U要物咫区域人员的身份接别.EI其实性传输机密性存站机变性口传输完整性口存拈完整性：不可否认性U通信W力的身份策冽1）政务z:中客户用到故先前通信伯道的介价鉴别.2）政务云对等实体间（¢1不同政务云之f"1.>Iff1.怡怡道的身份叁别.阿我女性传输机定性口片储机索性口传输完整性口存站完整性口不可否认性12“络设备接入时的身份鉴别从外部连接到内田；网络的壮茶接入认蓬时的身吩鉴别.回真实性Z）传输机也性口存储机密性71传输完整性存体完壑性n不可否认性13B!求操作系统改SC据阵系统的用户身份器别政务云许理员'云租户登录通用设备、网络及安全设备、花闪设备.各类或拟改备等设.数据库曾理系统的身份整别，0次实性口传输机密性D存站机密性传播完整性口存M完整性Z1.不可否认性序号相关业务保护对象保驴对象描述密码安全需求M期要可执行程序来源通用设符*网络及安全设.密码设备,各关虚拟设备等设备中的市要可执行印序.E1.其实作71传输机密性_1存站机变性口传输完整性口存储完整性口不可否认性15云平台用户的身份犍别1）政务云管理必身份鉴别2）云租户身份宪利EI其实性传输机索性存站机变性口传输完整性口存拈完整性：不可否认性16数据原发行为、数据接收行为仪务云帝理员和云租户的关键操作.口直实性传输机定性口片储机索性口传输完整性口存站完整性m不可否认性附录C资料性）对称密钥和非对称密钥全生命周期管理方式农CI和C2给出/对称密例和非对称密钥全生命周期管理方式.表C1对称密钥全生命周期管理序密钥Z称产生分发存储使用导人和导出妇档名侪和恢USisaI应用代输加密密的住空码设法内产生经非对林密钥加密后分发使用完成后销毁不涉及存佬在密码设备内使用不涉及议密钥的导入和导出不涉及读密钥的归档不涉及变创备份和tvV在密科设备内完成销K网络传按照标准野手协议协和生成不涉及存俅花密码设在帝玛不涉及该密钥的导入和导出不涉及不涉及读在连接Si开或2输抑密谖密的符杨夫设符内该变物击的的符设每断宗钥的分发性存修介册中使用的归档份和恢复电时应Hm数据加在密码不涉及在密码在密码不涉及不涉及利用密码设备口身在密码X3密存偌设在内该密钥设备中设备内E<mVi的导入和导出该密的的密的任«w,n完成销毁密的产生的分发存心使用的九档份和恢SI机IW实现MAC由II在密码不涉及在密码在密玛不涉及该密砌的导入和导出不涉及料用密码设餐自身“玄的iVfjI设备内读客的设备中设备内该第的的密的备完成的殁TSVJ产生的分发存站使用的旧档份和恢蜕机制实现表C.2非对称密钥全生命周期管理序密钥名称产生分发存储使用导人和导出九档每份和恢复销毁I云平台肾理员,'云上租户签名私的花智能密码钥匙内生成不进行分发住智健密码钥匙内存tii在智能密码例匙内使用秘行导人和等出不涉及谈密钥的归档不涉及该密钥的各份和恢在智能密码U1.数内部«1»2云平台臂理员/云上租户签名公的在智能密码钥St内生成以证书形式分发以£书杉式存储以证书形式使用以证书影式导入和导出以证书形式归档以证书形式省份愎V.IiiCAia行羸梢3云平台管理员/云上机户加密私物由CA生成由CA以离我方式进行分发在智傥密囚仍北内存W在智能密码钥St内使用由签名密钥进行加密府导入IhCAtI档由CA进行符份和恢V在智能密码期匙内部HmI云平台管理员/云上租户加密公钥由CA生成以证书形式分发以证书形式存怙以证书形式恢用以证书影式导入和导出以证书形式归档以证书彩式;价恢UI1.1.CAia行巅销5云平台谛理应用签名私钥在密码设着内生成不进行分发住空码设的内存储在密码设备内使用秘行导入和不涉及读密V1.的IB档不涉及该密钥的备份和恢St在密码设备内HJtfiJS6云平台管理应用隹名公用在密码设备内生成以证书形式分发以证书形式存tt以证形式使用以证书形式出入和导出以1£书形JW1.档以证书形式任份快义IhCAia行赢销7SjFft管理应用加密私的由CA生成由CA以离俄力式进行分发在密码设备内存储在密码设备内使用由提名密钥进行加密后导入IiiCAda档由CA进行备份和供在密