1、证券行业系统国密应用实践分享恒生电子股份有限公司 许欣芃CONTENTS目 录01.政策监管02.技术方案03.恒生服务2022 WEST L AKE CYBERSECURIT YCONFERENCE01政策监管01.行业背景国家战略技术标准政策法规行业监管与标准近年来随着金融安全上升到国家安全高度，国家相关部门和监管机构站在国家安全和长远战略的高度，提出了推动国密算法应用实施、加强行业安全可控的要求。近几年来国家密码管理局发布SM2、SM3、SM4等算法使用的标准规范，为算法升级提供了技术基础。信息安全技术 信息系统密码应用基本要求(GB/T 39786-2021)对各等级信息系统从技术应用

2、、密钥管理、安全管理等层面作出了实质性的密码应用要求。2018年中办、国办联合颁发的“36号文”金融和重要领域密码应用与创新发展工作规划（2018-2022年）的通知，在包括金融行业在内的国家重要信息领域全面推进国产密码算法及应用。2020年1月1日中华人民共和国密码法实施，进一步规范了国产密码的应用和管理。证监会根据证券期货业密码应用工作规划（2015-2020年）（证监发201592号）做出金融行业全面推行“国密”的统一安排。2022年2月17日，参照GB/T 39786的行业标准JR/T证券期货业信息系统密码技术应用指引发布征求意见，为证券期货业息系统密码技术应用提供了标准参考。01.行

3、业现状证券行业长期以来沿用3DES、SHA-1、RSA等国际通用密码算法体系及相关标准，既不符合国家信息安全战略也不满足相关政策法规的要求，对于证券行业的稳定发展造成潜在的信息安全风险。证券网上交易系统的安全加固模块普遍采用“账户+密码+验证码”+TLS等方式进行用户身份识别和通信，身份认证强度和通信安全有待加强；采用USBKEY等硬介质存放证书以及传统的PKI身份认证模式在证券业有较大的推广难度，证券行业客户要求操作便捷、系统响应快速。证券行业网上交易系统建设布局相对分散且交易渠道多样化，主要包括官网、APP、公众号以及第三方渠道接入，密码应用安全改造上要统筹兼顾、通盘考虑，重点需要以APP

4、为切入点进行改造。01.证券期货基金行业最新进展时间节点2021年12月底完成方案制定和评审；2022年12月底完成系统改造、安全性评估测试及收尾工作；国有控股必须改造，民营和外资机构不做强制要求（但强调如因未改造而引发的安全问题需要机构本身承担责任）改造对象等保三级系统强制改造等保二级系统鼓励尽量改造汇报情况每月20日前向证监会汇报改造进度工作进度、阶段性成果、存在的问题等完成PC端国密改造试点11家移动端完成评审移动端统一完成密评（试点）所有券商完成方案制定和评审完成系统改造、安全性评估及收尾工作所有券商完成国密密评2020年底2022-12月底2022-6月2021-6月2021-9月2

5、021-12月02技术方案02.建设目标1.加强客户端用户身份鉴别应用SM2、SM3、SM4国产密码算法，基于协同签名和国密证书对客户身份进行双重认证。2.加固密码算法，提高密钥使用和存储的安全采用密钥分割技术、采用客户端私钥片段PIN码加密存储技术，采用服务端私钥片段使用硬件加密存储技术，采用分段数字签名的协同签名等基于SM2、SM3、SM4等国产密码算法技术。3.高质量随机数通过国密认证的加密卡硬件，为密码应用中SM2非对称密钥生成、SM4对称密钥生成提供高质量随机数。4.提高通讯链路机密性与关键交易数据的安全性l 建立基于国密证书的安全链路；l 对关键交易数据做不可否认性、完整性保护。加

6、强网上交易系统互联网接入的安全级别，实现符合国密要求、基于数字证书的强身份认证以及对关键交易数据安全保护 02.改造内容和边界p 交易系统国密改造的内容主要集中在：身份认证、安全传输、数据签名。p 交易接入网关作为应用系统的入口，衔接互联网和企业内网通讯，是行业信息系统重点防范对象之一，也是这次国密改造项目的重点和切入点。建设内容身份认证关键数据签名验证安全传输02.建设思路以国产密码技术为核心全面支持国密算法，其中SM2算法用于签名验签、证书验证、密钥协商，SM3算法用于数据报文的完整性检查，SM4算法用于传输数据的加解密。结合业务特点和行业要求证券行业具有用户量大，系统稳定性要求高等特点。

7、证券行业网上交易系统还需满足等保二级及以上的相关要求。以PKI体系架构为基础按照PKI体系结构进行安全设计，具备对PKI体系的全面支持，通过公钥技术、数字证书建立用户身份认证及信息安全保障体系。02.业务系统特点1网上交易占比高95%2登录时间密集、关键时间多（9：30时间前后100万级用户登录）3实时性要求高，几秒钟从涨停到跌停等4操作便捷性，使用动态口令令牌，Ukey接受度不高交易系统特点02.逻辑架构图客户端协同签名系统 与SSL VPN安全网关安全认证服务端证书综合管理系统第三方CA交易柜台业务通道协同发证通道发证服务对接CA发证安全代理密码卡身份校验交易主模块国密算法模块密钥加密存储

8、安全认证客户端模块协同签名模块软件密码模块终端密码模块 SDK协同签名服务端证书及密钥数据库证书存储数据库透明加密系统/服务器密码机互联网环境国密SSL通道密钥管理系统02.网络部署拓扑图密钥管理系统互联网APP终端密码模块SDKSLB互联网接入区FWIPSSSL VPN安全网关交易服务器协同签名系统第三方CA证书申请/下发业务区PC客户端物理部署图部署模块主要组成有：终端密码模块SDK、SSL VPN安全网关、协同签名系统、密钥管理系统、数据库透明加密系统/服务器密码机、数字证书系统CA。数据库透明加密系统/服务器密码机密文存储安全性p国产密码算法和算法支持p符合安全密码模块二级可用性p服务

9、热备p服务集群p应用负载高性能p 高效率（最高支持1.6万次/秒的SSL新建连接，1.2万次/秒的协同签名性能）p 高并发（单台最高支持20万以上的SSL并发连接）p 高吞吐（最高加密吞吐可达9Gbps）易用性p多平台支持p标准接口合规性pGM/T 0028-2014密码模块安全要求pGM/T 0039-2015密码模块安全检测要求pGM/T 0024-2014SSLVPN技术规范p认证一致性p一次登录即可实现应用的身份认证，用户使用一张证书登录接入密码服务的相关应用系统02.系统特性02.商用密码测评依据 GB/T 39786-2021信息安全技术 信息系统密码应用基本要求 信息系统密码应用

10、高风险判定指引 商用密码应用安全性评估量化评估规则 商用密码应用安全性评估报告模板 信息系统密码应用测评要求 信息系统密码应用测评过程指南测评依据注：符合：100分；基本符合：无高风险，不低于60分；不符合：低于60分或存在高风险；供应商选择系统联调测试密码应用方案准备密码测评密码专家评审l系统调试l多系统兼容测试l改造方案专家答辩l结合评审意见稿进行方案调整l国密供应商lCA服务商l测评机构l结合测试情况准备改造方案l预约改造方案评审l测评机构进场测试生产应用l从非国密环境逐步切换到国密环境02.商用密码测评流程12345603恒生服务03.恒生服务1方案调研l 用户业务系统现状调研l 向安全厂商、密评单位等调研方案l 讨论方案设计l 预约改造方案评审l 国密改造方案咨询4密码评测l 密评机构进行系统评测l 初期审核相关材料，包括方案、制度和相关资质及其他证明材料等l 现场抓包、拍照，进行实地测评2方案评审l 协助客户方案报审l 为用户推荐测评机构（用户与测评机构签约）l 现场测评答疑指导l 整理评审意见稿l 后续结合“意见”进行方案调整3改造实施l 根据评审方案进行改造实施l 测试方案及测试环境部署l 业务系统接口适配改造及验证l 生产环境的实施方案与部署2022 WEST LAKE CYBERSECURITYCONFERENCE谢 谢THANK U