商用密码应用政策、现状与展望

发布日期:2017-09-12来源:
【字体: 打印

在2017年互联网安全大会密码应用技术论坛上的发言

 

商用密码应用政策、现状与展望
(国家密码管理局商用密码管理办公室副主任霍炜)

 

各位嘉宾,女士们、先生们:

非常荣幸参加第五届互联网安全大会,与来自海内外的朋友们相聚在北京金秋,围绕互联网安全这一时代命题,交流成果,分享思想,共谋未来。在此,我代表国家密码管理局商用密码管理办公室,对大会和论坛的举办表示热烈的祝贺!对各位嘉宾的到来表示热烈的欢迎!

互联网是把双刃剑,用得好,它是阿里巴巴的宝库;用不好,它就是潘多拉的魔盒,小可杀人于无形,大可颠覆国家政权。网络空间是全世界人民的公共空间,网络安全是人类社会面临的共同挑战,有效应对网络安全是世界各国的共同责任。2015年12月16日,习近平主席在第二届世界互联网大会上,提出互联网发展治理的“四项原则”、“五点主张”,并特别指出:“要维护网络安全,共同构建和平、安全、开放、合作的网络空间”。2016年11月16日,习近平主席在第三届世界互联网大会上发表讲话指出:“要携手构建网络空间命运共同体”。

下面,我就落实习近平主席重要讲话要求,围绕构建和平、安全、开放、合作的网络空间,进一步发挥密码的核心支撑作用,与各位嘉宾分享一些观点和看法,请大家批评指正。

一、密码是互联网安全的核心支撑

推动互联网安全互联需要发挥密码的基础支撑作用。目前,全球网民数量突破35亿,约占世界总人口的1/2,全球范围内网络互联、信息互通,互联网让世界变成了“鸡犬之声相闻”的地球村,相隔万里的人们不再“老死不相往来”。密码是互联网的基础设施,是安全互联互通的前提,人、机、物的可信互认、安全互通均依赖于密码。可以说,互联网安全发展,客观需要密码技术,来实现可用、且可控的互联互通。

维护互联网空间安全需要发挥密码的核心保障作用。网络攻击、网络犯罪、网络恐怖主义已成当今各国公害。习近平主席指出,“安全是发展的前提,发展是安全的保障,安全和发展要同步推进。”互联网发展不能成为沙漠之上的“海市蜃楼”。传统信息安全中用密码实现的真实性、机密性、完整性、可用性、抗抵赖等需求,仍然是互联网应用的安全需求。安全实现的密码技术,是经过理论证明的、保障互联网安全的关键技术。现在和未来相当长的时间内,密码将在数据加密、身份鉴别、访问控制、取证溯源等方面发挥着难以替代的重要作用。要充分发挥密码的核心保障作用,共同维护网络数据安全、技术安全和应用安全。

服务互联网创新发展需要发挥密码的协同促进作用。今天的互联网已经处于新的阶段,移动互联、万物互联、人工智能的时代已经到来。我们所处的每一个行业、每一个国家,都因此发生了重大改变。不管你是什么人,不管你身处哪里,不管你在干什么,我们每个人都是这场大变革的一部分。在这场变革中,密码因其解决网络安全问题的经济性、便捷性、有效性,以及在处理海量数据机密性保护、复杂网络实体认证等方面具有的独特优势,将成为网络空间的“内在”基因。而且,密码技术将不断与互联网安全深度融合,随着互联网安全发展的新趋势,不断创新、不断变革。

综上所述,构建和平、安全、开放、合作的网络空间,密码大有可为。我的理解,关键是要倡导“三个新”:

第一个是新安全文明:即通过密码实现可信互联、安全互通,倡导网络空间开放、共享、安全的发展理念;

第二个是新安全体制:即树立以总体国家安全观为统领,以密码为核心技术和基础支撑的网络信息安全观;

第三个是新安全环境:即构建以密码基础设施为底层支撑的,系统的、完善的网络安全保障体系。

二、提升密码保障能力的挑战与机遇

我们在密码的重要性上取得共识,但如何推进密码深入广泛应用,提升网络空间安全保障能力,我们面临着严峻的挑战,但也迎来了难得的机遇,这是问题的两个方面。

一方面,密码应用安全挑战日益严峻。当前,网络威胁形式复杂多样,未知威胁渐成主流,网络安全威胁被许多国家列为第一层级的安全威胁,上升为国家战略并付诸行动。谷歌公司使用高性能计算机找到SHA-1算法的碰撞,揭示了高性能计算对密码和网络安全的新挑战,OpenSSL“心脏出血”漏洞证明了密码安全对网络空间的致命威胁,勒索软件攻击事件体现了密码攻防角色互换的新趋势,密码安全已成为网络安全的焦点。眼下,我们的网络安全防护能力还比较薄弱,防护方式也比较单一。特别是在密码使用方面,还存在使用密码意识不强,密码应用缺乏规划,密码使用不够规范,以及服务保障、风险控制和应急处置能力不足等问题。可以说,问题突出,隐患很大,必须构建科学完善的密码安全保障体系。

另一方面,密码产业发展机遇前所未有。全球的网络安全产业刚刚起步,投资与创业机会将聚焦网络安全领域,未来可能催生万亿级别的大市场(资料显示:2016年全球网络安全市场已超过6000亿人民币,Gartner的数据是906亿美元)。目前,我国网络安全投入还很不够,仅占整个IT产业比重的1%至2%,低于世界5%至10%的平均水平,更低于欧美国家8%至12%的水平,相比于西方发达国家,我国尚有8倍的增长空间,这既是短板也是市场。按照国家有关部署,金融和重要领域正在强化密码应用,大量网络和信息系统涉及密码保障系统的新建或改造,市场空间很大。可以说,密码应用将会带动更多安全投入,拓展更大安全市场空间。谁投入早,创新多,谁成为网络安全行业龙头的可能就更大。对此,产业单位要有更加积极的认识。

三、密码发展取得了显著成效

国家高度重视商用密码工作。1999年国务院颁布《商用密码管理条例》,对商用密码产品的科研、生产、销售和使用实施管理。2002年国家商用密码办公室成立,专门负责全国商用密码管理工作,包括商用密码技术与标准化、产品服务和进出口审批、密码应用、监督管理、检测认证等。

经过多年的发展,我国在密码基础理论研究方面取得了大批国际瞩目的原创成果,设计了具有中国特色的基础密码算法体制,制定了涵盖应用各层面的密码标准体系,拥有了具有国际影响力的密码学家团体,具备了完备的高校和科研院所专业密码人才培养体系,具备了从密码芯片到密码应用系统全产业链的密码产业队伍,具备了以金融等重点行业应用为代表的,深入国民经济信息应用各环节的,统一可控的密码应用市场。目前,有1900多款商用密码通用产品,900多家从业单位,密码产品不断丰富,产业支撑能力不断增强。

从密码应用实践来看,我国商用密码算法在设计、实现方面均有优势,以SM算法为例,密钥替换攻击是目前多个数字签名算法不能抵御的攻击方法,SM2数字签名算法抵御密钥替换攻击方面存在可证明安全,SM2算法的性能与EC-SDSA等国际算法相当,但签名长度更短。SM3算法能够抵御差分分析且具有较强的扩散性,在硬件实现面积和性能上占优。SM4算法在设计上实现了资源重用,即密钥扩展过程和加密过程类似,实现时硬件资源占用较少,目前针对SM4的研究最多能分析32轮中的23轮,具有良好的安全强度。

四、促进密码创新与依法依规使用

为更好地发挥密码在互联网安全中的重要作用,切实维护国家安全、促进经济发展、保护人民群众利益,国家密码管理局将加强密码规范管理、促进密码广泛应用、着力密码科技创新、指导密码应用安全性评估、构建密码安全通报机制。

一是加强密码规范管理。《密码法》初稿今年5月面向社会公开征求意见,国家有关部门正在积极推进立法进程。国家密码管理局正在制定配套法规,完善商用密码管理法规体系,确保商用密码管理有法可依、有章可循。

二是促进密码广泛应用。不断强化密码应用与国家战略的融合。《“十三五”国家信息化规划》提出,构建关键信息基础设施安全保障体系,要加强密码应用,国家互联网大数据平台建设,要推进数据加解密、完整性验证等安全技术的应用。银行业清算办法、网络安全等级保护管理要求、政务信息化规划,也都提出密码应用要求。通过密码广泛应用,不断促进密码技术、产品和服务创新,形成典型应用案例和标准规范,实现密码事业创新发展的生动局面。

三是着力密码科技创新。加强密码基础研究和原始创新,推进国家密码重大科技项目、重大工程和重大基础设施建设。组建产学研用联盟,建设密码创新产业基地和重点实验室,实施创新驱动和协同攻关,努力形成一批“拳头”产品,有效应对网络空间威胁,不断满足物联网、工业控制、移动智能终端等新兴领域对密码应用新的需求,不断提高密码供给质量,让产品更好用,让用户更爱用。

四是指导密码应用安全性评估。根据国家法律法规要求,今年,国家密码管理局在7省5行业开展了密码应用安全性评估试点。关键信息基础设施(试点期间主要针对等级保护三级及以上信息系统)要进行密码应用安全性评估,包括规划、上线、运行三个阶段。评估结果作为项目规划立项、申报财政性资金、建设验收的必备材料。目的就是,督促网络建设和运营者落实密码应用和安全保障责任。

五是构建密码安全通报机制。在总体国家安全观的统领下,国家密码管理局将会同国家网信、公安、保密等网络安全主管部门,以及各行业主管部门,建立密码安全通报机制,加强密码基础数据、应用情况、安全动态等信息的共享,实现密码数据的动态跟踪和密码安全的态势感知。

各位嘉宾,女士们、先生们,纵观密码的发展历史,新型计算的威胁和新型应用的需求,一直是推动密码技术进步的两大主要动力。第二次世界大战的军事通信需求,催生了机械密码的巅峰时代;图灵炸弹的攻击威胁和全球网络的安全通信需求,推动了现代密码学的出现。当前,量子计算的威胁和互联网安全的需求,催生着密码技术的革命性突破与发展。

各位嘉宾都是互联网安全和密码技术的设计者、维护者、使用者和受益者,让我们一道,积极倡导网络安全新文明、推动网络安全新体制、创建网络安全新环境,构建以密码为核心技术和基础支撑的网络安全保障体系,让互联网成为安全之网、放心之网;让互联网安全,从密码开始,从密码应用开始。

谢谢大家!

 

 

责任编辑:
相关稿件