加密技术标准、法律法规

1、介绍,信息安全技术专家岗位资格技能认证培训 中华人民共和国劳动与社会保障部职业资格认证 国家信息安全培训认证管理中心 主任 劳动与社会保障部国家督导、高级考评员 信息产业部 信息化与电子政务专家 盛鸿宇 副研究员 e_,第十章 加密技术标准、法律法规,加密技术标准 数字签名标准和电子签名法 安全电子交易规范SET 国外相关PKT体系建设标准 国内相关PKT体系建设标准,ISO7498-2安全标准,ISO7498-2提供了以下五种可选择的安全服务 认证 访问控制 数据保密 数据完整性 防止否认,Authentication,Access control,Data Integrity,Data C

2、onfidentiality,Non-reputation,加密技术标准,数字加密标准DES 高级加密标准AES,数字签名标准,数字签名 数字签名标准 数字签名标准DSS(美国,数字签名,对文件进行加密解决了传送信息的保密问题，而防止他人对传输的文件进行破坏，以及如何确定发信人的身份还需要采取其它的手段，这一手段就是数字签名。在电子商务安全保密系统中，数字签名技术有着特别重要的地位，在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中，都要用到数字签名技术。在电子商务中，完善的数字签名应具备签字方不能抵赖、他人不能伪造、在公证人面前能够验证真伪的能力,数字签名技术,数字签名基于公共密钥体制

3、,A传送方,B接收方,数字签名标准DSS,数字签名的应用涉及到法律问题 1991年8月30日, 美国国家标准与技术学会NIST公布了数字签名标准DSS （现在叫联邦信息处理标准FIPS） 指定数字签名算法（DSA） DSS签名使用FIPS l80-1和安全hash标准（SHS）产生和核实数字签名 指定安全hash算法（SHA,电子签名法,数字签名的应用涉及到法律问题 法国是第一个制定数字签名法的国家 美国于1991年公布数字签名标准（DSS）后，部分州已制定了数字签名法,安全电子交易规范SET,在开放的因特网上处理电子商务，保证买卖双方传输数据的安全成为电子商务的重要的问题。为了克服SSL安全

4、协议的缺点，满足电子交易持续不断地增加的安全要求，为了达到交易安全及合乎成本效益的市场要求，VISA国际组织及其它公司如Master Card、Micro Soft、IBM等共同制定了安全电子交易（SET：Secure Electronic Transactions）公告。这是一个为在线交易而设立的一个开放的、以电子货币为基础的电子付款系统规范,SET协议要达到的目标,1）保证电子商务参与者信息的相互隔离。客户的资料加密或打包后边过商家到达银行，但是商家不能看到客户的帐户和密码信息； （2）保证信息在Intemet上安全传输，防止数据被黑客或被内部人员窃取； （3）解决多方认证问题，不仅要对消

5、费者的信角卡认证，而且要对在线商店的信誉程度认证，同时还有消费看、在线商店与银行间的认证； （4）保证了网上交易的实时性，使所有的支付过程都是在线的； （5）规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上,SET安全协议的工作原理,1）消费者利用已有的计算机通过因特网选定的物品，并下电子订单（关于产品属性的字段）； （2）通过电子商务服务器与网上商场联系，网上商场做出应答，告诉消费者的订单的相关情况（是否改动以及关于购买属性的关键字段）； （3）消费者选择付款方式，确认订单，签发付款指令（此时SET介入）； （4）在SET中，消费者必

6、须对定单和付款指令进行数字签名，同时利用双重签名技术保证商家看不到消费者的帐号信息； （5）在线商店接受定单后，向消费者所在银行请求支付认可，信息通过支付网关到收单银行，再到电子货币发行公司确认，批准交易后，返回确认信息给在线商店； （6）在线商店发送定单确认信息给消费者，消费者端软件可记录交易日志，以备将来查询； （7）在线商店发送货物或提供服务，并通知收单银行将钱从消费者的帐号转移到商店帐号，或通知发卡银行请求支付,SET协议的意义,SET主要使用电子认证技术，其认证过程使用RSA和DES算法，因此，可以为电子商务提供很强的安全保护; 由于安全电子交易规范是由信用卡发卡公司参与制定的，一般

7、认为，安全电子交易规范的认证系统是有效的; SET规范是目前电子商务中最重要的协议，它的推出必将大大促进电子商务的繁荣和发展; SET将建立一种能在因特网上安全使用银行卡进行购物的标准,SET协议存在的一些问题,协议没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接收证书。如果在线商店提供的货物不符合质量标准，消费者提出异议，责任由谁承担？ 协议没有担保“非拒绝行为”，这意味着在线商店没有办法证明订购是由签署证书的、讲信用的消费者发出的； SET技术规范没有提及在事务处理完成后，如何安全地保存或销毁此类数据，是否应当将数据保存在消费者、在线商店或收单银行的计算机里。这种漏洞可能是这些

8、数据以后受到潜在的攻击,世界各国密码政策介绍,概况,1999年6月，美国的Electronic Privacy Information Center公布了其对世界各国密码政策的调查结果,1、当今许多国家对密码的使用没有控制，密码的使用 、生产、销售均不受限制。 2、各国和国际组织在密码的法律和政策方面向着更加 宽松的方向迈进。 3、出口控制依然是密码自由流动和发展的最大障碍。 4、美国继续在全球推行其加密出口控制的政策，并迫 使其它国家采纳其限制性的政策,出口控制的作用,出口控制政策是各国政府限制加密产品发展的强有力手段。 出口控制降低了自由获得加密产品的可能性，特别是从美国的公司。 出口控制

9、不利于制定国际通用的加密标准，而且造成不同程序间的互操作性很差。 出口控制在网络化的今天形同虚设，强的牢不可破的加密程序可以在几钞钟内传遍世界各地,美国的密码政策（一,1999.9.16,克林顿政府宣布了其最新的密码产品出口控制条例。尽管这些政策远未落实，但却表明美国政府多年来对强加密的敌视态度正在转变,任何密钥长度的硬件、软件加密产品，只要经过一个“one-time technical review”无需许可证即可出口。 密钥长度不超过64比特的密码产品不受任何限制。但要满足Wassennaar协议要求,美国的密码政策（二,尽管放松的出口控制政策是美国工业界在加密之争中的一次胜利，斗争仍未结

10、束。政府提议的CESA（Cyberspace Electronic Security Act）明确规定使用密钥托管，CESA要求一个可信第三方为政府机构必要时提供密钥,零售产品可以出口给任何国家的任何用户，包括个人、商业公司、非政府用户等。但必须除开七个支持恐怖主义的国家（Cuba, Iran, Iraq, Libya, North Korea, Sudan and Syria.）。 加密源代码、工具箱和芯片仍受控制，不超过56比特密钥长度的可以出口,英国的密码政策,目前对密码产品的进口和国内使用没有任何限制。英国是美国推行密钥托管系统的强力支持者，已在筹建国内的密钥托管系统,我国对安全设备的

11、部分政策,国家安全主管部门负责对党政机关的重要部门和要害部位实行安全技术检查。 公安机关负责公共信息网络的安全监察和打击计算机犯罪； 国家保密机关对信息网络进行安全保密检测。 国家规定：安全保密场所使用的进口专用设备，必须经过安全技术检查方可使用。 国家有关部门对安全产品进行检测与认证，并实行许可证制度。 中华人民共和国计算机信息网络国际联网管理暂行规定明确要求：接入单位及服务商必须“具有健全的安全保密管理制度和技术保护措施。,我国对商用密码设备的管理,加密设备，有核密、普密、商密之分，所有密码算法必须由国家密码管理委员会审批； 商用密码的科研任务由国家密码管理机构指定单位承担，科研成果由国家

12、密码管理机构审查、鉴定； 商用密码产品由国家密码管理机构许可的单位销售； 进口密码产品以及含有密码技术的设备或出口商用密码产品，必须报经国家密码管理机构批准； 任何单位或个人只能使用经国家密码管理机构认可的商用密码产品,PKI的规划和建设,PKI 作为国家信息化的基础设施， 涉及到电子政务、电子商务以及国家信息 化的整体发展战略等多层面问题，是相关 技术、应用、组织、规范和法律法规的总 和，其本身是国家综合实力的体现,国际上PKI标准情况,定义PKI的标准：ITU X.509协议 PKI应用标准：安全的套接层协议SSL、传输层安全协议TLS、安全的多用途互连网邮件扩展协议S/MIME和IP安全

13、协议IPSEC等,美国PKI体系结构,加拿大政府PKI体系结构,两种体系的比较,体系结构上 美国联邦PKI体系结构比较复杂，联邦的桥CA仅是一个桥梁；而加拿大政府PKI体系结构比较简单，中央认证机构仿佛是一个根CA。 在信任关系的建立上 美国联邦PKI体系结构中的联邦的桥CA是各信任域建立信任关系的桥梁；在加拿大政府PKI体系中，各信任域之间建立信任关系必须经过中央认证机构。 采用的技术上 美国联邦PKI体系中的成员采用多种不同的PKI产品和技术；而加拿大政府PKI体系中强调使用Entrust公司的技术。 在组成成员上 美国联邦PKI体系中除了各级政府，不同的政府机构外，还可包括与政府或政府机

14、构有商业往来的合作伙伴；而加拿大政府PKI体系中的成员都是联邦的各级政府或政府机构,我国的PKI发展规划,我国的PKI体系建设情况,我国的PKI体系建设包括: PKI基础设施的建设 PKI相关法律法规的建设 PKI标准的建设,PKI 基础设施建设,区域类CA证书机构大多以地方政府为背景、以公司机制来运作，主要为本地行政区域内电子商务业务与面向公众服务的电子政务业务发放证书； 行业类CA证书机构以部委或行业主管部门为背景，以非公司机制或公司机制运作，在本部委系统或行业内为电子政务业务和电子商务业务发放证书； 商业类CA证书机构以公司机制运作，面向全国范围为电子商务业务发放证书； 内部自用类CA

15、证书机构，主要是企事业单位自建的证书机构，为自身内部业务发放证书，不向公众提供证书服务,国内PKI相关法规建设,中华人民共和国电子签章条例（草案） 上海市数位认证管理办法 关于同意制定本市电子商务数字证书价格的通知 广东省电子交易条例,国内PKI相关标准建设,2002 年4 月新立的全国信息安全标准化技术委员会非常重PKI 标准化工作，7 月份在北京成立了PKI/PMI（WG4）工作组。 2002 年底，X.509C 证书格式规范国家标准送审稿和信息安全专用术语通过全国信息安全标准化技术委员会组织的评审，X.509C 证书格式规范国家标准送审稿已向国家标准化管理委员会申报为国家标准。 另外WG

16、4工作组还承担了公安部下达的PKI系统安全保护等级评估准则和PKI系统安全保护等级技术要求两个行业标准的制订工作，并将由工作组组织修改完善后向全国信息安全标准化技术委员会申报为国家标准,我国涉及加密技术的法律法规,GB/T 15277-1994 信息处理64位块加密算法操作方式 ISO8372:1987 BG/T 15278-1994 信息处理-数据加密-物理层互操作性要（ISO9160:1988） BG 15851-1995 信息技术-安全技术-带消息恢复的数字签名方案（ISO/TEC 9796:1991） GB 15852-1995 信息技术-安全技术-用块加密算法作校验函数的数据完整性机

17、制（ISO/IEC 9797:1994） GB 15853.1-1995 信息技术-安全技术-实体鉴别机制第1部分：一般模型（ISO/ICE 9798-1:1991) GB 15853.2- 信息技术-安全技术-实体鉴别机制第2部分：使用对称加密算法的实体鉴别ISO/IEC9798-2:1994） GB 15853.3- 信息技术-安全技术-实体鉴别第3部分：用非对称签名的机制（ISO/IEC 9798-3:1997,已经制定的标准项目,我国涉及加密技术的法律法规,GB/T 15843.1-1999信息技术 安全技术 实体鉴别 第1部分：概述(idt ISO/IEC9798-1:1997)GB

18、/T 15843.4-1999 信息技术 安全技术 实体鉴别 第4部分：采用密码校验函数的机制(idt ISO/IEC9798-1:1995)GB/T 17903.2-1999 信息技术 安全技术 抗抵赖 第2部分：使用对称技术的机制(idt ISO/IEC13888-1:1998)GB/T 17903.3-1999 信息技术 安全技术 抗抵赖 第3部分：使用非对称技术的机制(idt ISO/IEC13888-3:1997)GB/T 17902.1-1999 信息技术 安全技术 带附录的数字签名第1部分： 概述,已经制定的标准项目,我国涉及加密技术的法律法规,安全电子数据交换标准 安全电子高务

19、标准 第1部分：密钥管理框架 信息技术-n位块密码算法的操作方式 GJB 1894-94 自动化指挥系统数据加密要求,正在制定中的标准项目,国际相关法律法规现状与特点,瑞典年就颁布了数据法，涉及到计算机犯罪问题，这是世界上第一部保护计算机数据的法律,国际相关法律法规和标准,国际标准化组织（ISO）信息技术安全标准 国际电信联盟标准（ITU-T） 欧洲计算机制造商协会信息安全标准（ECMA） 美国信息技术安全标准 美国国家标准（ANSI） 美国联邦标准（FIPS） 美国国防部指令（DODD,ISO信息技术安全标准,ISO 8372:1987 信息处理-64位块加密算法的操作方式 ISO/IEC

20、9796:1996 信息技术-安全技术-带消息恢复 的数字签名方案 ISO/IEC 9797:1993 信息技术-安全 技术-用块密码算法作密码校验 函数的数据完整性机制 ISO/IEC 9798-1:1991 信息技术-安全技术-实体鉴别 机制-第1部分： 一般模型 ISO/IEC 9798-2:1994 信息技术-安全技术-实体鉴别 机制-第2部分： 使用对称加密算法的实体鉴别 ISO/IEC 9798-3:1993 信息技术-安全技术-实体鉴别 机制-第3部分： 使用公开密钥算法的实体鉴别 ISO/IEC 9798-4:1995 信息技术-安全技术-实体鉴别 机制-第4部分： 使用加密校

21、验函数的机制 ISO/IEC 9979:1991 加密算法的登记规程,ISO信息技术安全标准,ISO/IEC 10116:1991 信息技术-n位块加密算法的操作 方式 ISO/IEC 10118-1:1994 信息技术-安全技术-散列函数 第1部分：概述 ISO/IEC 10118-2:1994 信息技术-安全技术-散列函数 第2部分： 用n位块密码算法的散列函数 ISO/IEC 10164-7:1992 信息技术-开放系统互连-系统 管理 第7部分： 安全报警报告功能 ISO/IEC 10164-8:1993 信息技术-开放系统互连-系统 管理 第8部分： 安全审计跟踪功能 ISO/IEC

22、 10745:1995 信息技术-开放系统互连-上层安 全模型 ISO/IEC 11577:1995 信息技术-开放系统互连-网络 层安全协议 ISO/IEC 11770-1 信息技术-安全技术-密钥管理 第1 部 分：框架 ISO/IEC 11770-2 信息技术-安全 技术-密钥管理 第2部分：使用对称技术的机制 ISO/IEC TR 13335-1 信息技术安全管理 第1部分： IT安全概念和模型,国际电信联盟ITU-T标准,ITU-T建议X463 信息技术-MHS管理：安全管理功能（ISO 11588-3,ECMA信息安全标准,ECMA-138:1989 开放系统安全-数据元素及服务定

23、义 ECMA-205:1993 专用远程通信网（PIN）-安全评估用商业贸 易取向的功能性类别（COFC） ECMA-206:1993 安全上下文管理的联系上下文管理 ECMA-219:1994 密钥分配功能的鉴别和特许属性安全应用 ECMA- TR/46:1988 开放系统中安全-安全框架 ECMA- TR/46:1993 保密信息处理与产品评估的角度,美国国家标准（ANSI,ANSI X3.92-1981 数据加密算法 ANSI X3.105-1983 信息系统-数据链加密 ANSI X3.106-1983 信息系统-数据加虎法-操作方式 ANSI X9.9-1986 金融机构的消息鉴别（批量） ANSI X9.17-1985 金融机构的密钥管理 ANSI X9.19-1986 金融机构零售消息鉴别 ANSI X9.23-1988 批量金融消息的金融机构加密 ANSI X9.24-1992