四个技术层面
| 层面 | 典型要求方向 |
|---|---|
| 物理和环境安全 | 门禁与视频等场景的身份鉴别、记录完整性 |
| 网络和通信安全 | 通信实体身份鉴别、数据传输机密性与完整性 |
| 设备和计算安全 | 设备身份鉴别、系统资源访问控制信息与日志完整性 |
| 应用和数据安全 | 用户身份鉴别、访问控制信息与重要数据/敏感信息的机密性完整性 |
记忆口诀
记忆口诀
技术四面：物理环境 / 网络通信 / 设备计算 / 应用数据
管理四面：制度 / 人员 / 建设 / 运行本包目录（268 条）
等保 2.0 基础50 条测评与整改57 条数据安全与个人信息51 条
密码与认证合规50 条
- 密码法总览：分类管理与合规边界
- 商用密码应用安全性评估（密评）总览
- GB/T 39786-2021 信息系统密码应用基本要求
- SM2 椭圆曲线公钥算法：用途与要点
- SM4 分组密码算法：加密与工作模式
- 密钥全生命周期管理：六阶段动作
- 等保三级身份鉴别四项要求与落地
- 密评流程：方案评估与系统评估
- SM3 密码杂凑算法：摘要与完整性
- 口令存储：不可逆、加盐、慢哈希
- 多因素认证（MFA）：类型与合规场景
- 口令策略：复杂度、锁定与更换周期
- TLS 配置基线：协议、套件与验证
- 商用密码检测认证制度：谁要认证
- 商用密码管理条例（2023 修订）要点
- 密钥保护：信封加密与 KMS 实践
- 密码应用常见问题清单（对照自查）
- 三类密码的适用范围与要求差异
- 密评结论与整改处理
- 密码机（HSM）使用与运维要点
- 密钥硬编码与明文存放：检测与治理
- 密评与等保测评：差异与联合推进
- GB/T 39786 应用与数据层面：检查点速览
- GB/T 39786 管理要求：制度、人员、建设与运行
- 国密 TLS 在 Nginx 上的落地路径
- 统一身份认证（SSO）：OIDC 与目录整合
- JWT 认证安全：算法、校验与密钥轮换
- 等保测评中的密码相关检查线
- 密评整改：常见问题与改法
- 用 OpenSSL 生成 SM2 自签证书（联调与验证）
- SM2 标准体系：五个部分的用途分工
- GB/T 37092-2018 密码模块安全要求：四个等级
- GM/T 0024 SSL VPN 规范：双证书国密通道
- SM2 签名与验签：命令与验证
- 随机数质量：密码应用的隐形地基
- 电子签名法：可靠电子签名的条件
- 密评范围判断：谁的系统需要做
- 密评准备材料清单：一次备齐
- SM9 标识密码：免证书的公钥体制
- SM2 双证书体系：签名证书与加密证书
- FIDO2 / WebAuthn：抗钓鱼的认证方式
- 商用密码产品选型：判断维度与材料留存
- 密码应用方案编写要点
- 云上密码服务（KMS/云密码机）使用要点
- SM2 公钥加密与密文格式互操作
- TOTP 动态口令：实现与校验要点
- ZUC 祖冲之序列密码：移动通信场景
- 证书吊销检查：CRL 与 OCSP
- 密码应用人员管理：岗位分设与交接
- 商用密码进出口：许可与管制清单
GB/T 39786-2021 信息系统密码应用基本要求
密评的核心依据标准：从物理和环境、网络和通信、设备和计算、应用和数据四个技术层面，以及管理制度、人员、建设、运行四个管理层面提出密码应用要求。
易错点
- 只对传输加密：应用数据存储与访问控制信息同样在评估范围
- 忽略管理层面：制度、人员与运行记录也是评估对象
数据来源与参考
- GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》