密评身份鉴别层怎么过：智能密码钥匙与国密浏览器分工

密评现场最常见的一条失分，不是密码设备没买，而是登录还停留在账号加口令。GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》把"身份鉴别"放进四个技术层面，第三级系统在其中三个层面都写成"应"——只要还在用口令，这几项就是实打实的不符合。整改时最常被推荐的两样东西是智能密码钥匙和国密浏览器，但很多人分不清它们各解决什么问题。这篇讲清分工。

身份鉴别在第三级是三处"应"

按 GB/T 39786-2021 附录 A，第三级系统的身份鉴别分布在四个层面，语气并不一样：

• 物理和环境：宜（主要指电子门禁的身份鉴别）
• 网络和通信：应
• 设备和计算：应
• 应用和数据：应
• 四个层面通用：密码服务"应"，密码产品须达到 GB/T 37092 二级及以上

三处"应"意味着这三层的身份鉴别都必须用密码技术实现，没有留"可"或"宜"的余地。物理和环境是"宜"，门禁做不做不直接扣分，做了有收益。

注意：四层的身份鉴别是四个独立测评单元，网络层过了不代表应用层那一项自动过。

智能密码钥匙：把"操作者是谁"锚定在硬件上

智能密码钥匙一般做成 USB 形态，业内也叫 USBKey，内置安全芯片，存用户私钥和数字证书，能完成密钥生成、安全存储、加密和签名。

相关行业标准有四份：接口与数据格式看 GM/T 0016、GM/T 0017（2012 版已废止，现行 2023 版），产品技术与检测看 GM/T 0027、GM/T 0048。

它的内部结构值得改造前先看一眼：密钥分三类——设备认证密钥用于终端管理程序与设备互相鉴别，用户密钥用于签名验签和加解密，会话密钥用完即消失。签名密钥对在设备内部产生，加密密钥对由外部安全导入。安全机制上，PIN 长度不小于 6 个字符，错误口令登录次数限制不超过 10 次，口令不得以任何形式从设备内输出；每次签名前都要重新做身份鉴别，完成后立即清除鉴别结果。带屏幕按键的第二代产品会把待签内容显示出来供用户确认。

落到指标上，它主要解决两件事：一是应用和数据层的身份鉴别（应），二是第三级虽为"宜"却几乎被整体漏掉的不可否认性——用 SM2 签名把关键业务操作的原发证据和接收证据留存下来。

国密浏览器：解决"通道这一跳"的身份鉴别

智能密码钥匙管的是"人"，国密浏览器管的是"链路"。

它遵循 GB/T 38636-2020《信息安全技术 传输层密码协议（TLCP）》，工程实现上常配合 GM/T 0024《SSL VPN 技术规范》。要点有三：算法用 SM2/SM3/SM4；采用双证书体系，签名证书与加密证书各一张，典型套件是 ECC-SM2-SM4-CBC-SM3 与 ECDHE-SM2-SM4-GCM-SM3；支持单向与双向两种模式，双向时浏览器要能读钥匙里的客户端证书。

采购时不要只看宣传页上"支持国密"，要核对《商用密码产品认证证书》。密评现场认的是证书，不是厂家自述。

落到指标上，它覆盖的是网络和通信层的身份鉴别（应）、通信过程中重要数据的机密性（应）以及传输完整性（宜）。

两者不能互相替代

• 作用点不同：钥匙作用在应用层，解决"操作者是谁、这笔操作是谁签的"；浏览器作用在传输层，解决"这趟会话的对端是不是真的、路上有没有明文"。
• 只换浏览器不够：应用登录还是口令，应用和数据层那一项依然不满足。
• 只发钥匙也不够：浏览器到服务器这一段仍是国际算法通道，网络层的机密性照样不满足。
• 唯一的交集是双向认证：浏览器读钥匙里的客户端证书完成 TLCP 双向认证，这时两样东西必须同时在线。

落地顺序

1. 先划范围、定测评对象：哪几个系统、哪几类终端、哪几个机房。
2. 编制密码应用方案并送评估。新建系统没有方案或方案未通过评估，会被直接判为高风险。
3. 应用侧改造：登录环节接证书认证，关键操作加 SM2 签名并留存证据。
4. 通道侧改造：国密 SSL 网关或国密 SSL 模块配合国密浏览器，兼顾不支持国密算法的终端。
5. 补设备和计算层：运维远程管理通道、堡垒机、服务器登录同样要上密码技术，这一层最常被漏。
6. 验证：抓包看链路有没有明文，拔掉钥匙看还能不能继续操作，换一台没有证书的终端看是否被拒。
7. 管理要求同步跟上：密钥管理规则、操作规程、执行记录留存，第三级管理要求全部为"应"。

现场核查看什么，漏配常在哪

核查大致看四处：算法是否合规——MD5、SHA-1、DES、3DES、RC4、RSA-1024 与 TLS 1.0 命中即高风险；产品是否有《商用密码产品认证证书》且不低于 GB/T 37092 二级；密钥是否在密码产品内产生和存储，明文落在配置文件或数据库里同样高风险；证书链的根证书预置、有效期与吊销状态查询能否跑通。

漏配最常见的三类：钥匙登录做了，系统却还留着口令登录的口子；国密 HTTPS 上了，内网段或某个接口仍是明文；通道改造了，运维侧的远程管理通道没动。

周期与投入的口径

单系统从差距分析到具备测评条件一般 2 到 6 个月；涉多系统、多机房或需大规模应用改造的可能延到 6 到 12 个月。投入由密码产品购置、应用改造开发、集成联调、测评与复测、管理制度建设几部分构成，量级随系统数量、部署形态和改造起点差异较大。以上为区间口径，以属地要求和项目实际情况为准。

需要提醒的是资质口径：密评报告须由具备商用密码检测机构资质的检测机构出具，我们提供的是密评辅导、差距分析、密码应用方案编制与协助对接持牌机构的服务。可以先从差距分析入手，再定改造的优先顺序。

延伸阅读：等保测评完整流程、密评与密码应用标准汇总、持牌密评机构名录。