密码合规改造的要点

发布时间:2026-05-22 13:07

不少单位都接到过类似的整改要求：信息系统要使用商用密码。密码合规改造听起来抽象，拆开看就是三件事——算法升级、密钥管理、过渡兼容，再配一本清楚的台账。 一、算法先升级 改造的核心是把老旧算法换成国产商用密码算法：SM2 用于签名与密钥交换，SM3 是摘要算法，SM4 是分组加密。MD5、SHA-1、DES 这类存在已知弱点的算法要逐步退场。工具链已经跟得上，OpenSSL 1.1.1 之后支持国密，用 openssl dgst -sm3 data.txt 就能计算 SM3 摘要；Web 侧的 TLS 通道则需要支持国密的组件配合，替换对应证书。动手前先在测试环境跑通国密握手，把客户端兼容性列成矩阵表逐项验证，再上生产。 二、密钥管起来 密钥硬编码在代码里，是改造中最常见的不合格项。集中保管、定期轮换、按用途分离——签名密钥与加密密钥分开，备份密钥与生产密钥分开存放。谁申请、谁审批、谁使用，每个环节都要留痕，事后审计才有依据。轮换周期写进制度，到期自动提醒，别靠人记。 三、过渡要兼容 对外系统面对的客户端五花八门，一步切换不现实。常见做法是双证书并行：国际算法与国密算法同时提供，服务端根据客户端能力协商选择。改造分批推进，先核心交易系统，后边缘系统，每一批都留观察期，出问题能快速回退。 四、动手前先建台账 改造前先梳理：哪些系统、在哪些环节、用了什么算法，形成台账，再对照要求排优先级。台账至少包含系统名称、所在环节、当前算法、证书有效期四列，缺一列，后面的评估就得重新翻一遍。密码应用方案先设计、评审，然后才动代码——顺序反了，返工至少翻倍。 密码改造本质是台账工程，账目越清楚，验收越顺利。与其赶工期堆代码，不如先把算法家底盘清楚。