密评
国家密码管理局公告（第49号）的发布后，共有112家商用密码检测机构（商用密码应用安全性评估业务）正式营业。这些机构可依法开展商用密码应用安全性评估业务（简称“密评”），该评估主要从技术和管理两个方面对系统进行全面审查。
对于需要通过密评的系统而言，除了在管理维度上符合要求，在技术维度上还必须购买必要的设备和工具，以满足密码安全建设的标准。以下将简要介绍密评的内容及部分密码安全设备和工具。
对采用商用密码技术、产品和服务集成建设的网络和信息系统，其密码应用的合规性、正确性和有效性进行全面评估。
换句话说，密评的目标是评估网络和信息系统中的密码应用。在这些系统中，密码广泛存在，例如用户登录、管理员操作、业务系统间的数据调用等。因此，密评需要对整个网络和信息系统的密码应用情况进行全面测评，确保安全性和规范性。
《商用密码应用安全性评估管理办法》第六条 法律、行政法规和国家有关规定要求使用商用密码进行保护的网络与信息系统（以下简称
重要网络与信息系统
），其运营者应当使用商用密码进行保护，制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，并定期开展商用密码应用安全性评估。第九条 重要网络与信息系统建成运行后，其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估，确保商用密码保障系统正确有效运行。
对应提到的“重要网络与信息系统”主要包括关键信息基础设施、政务信息化系统、网络安全等级保护制度明确要求使用商用密码保护的网络与信息系统等。
即：国家网络安全和密码相关法律法规明确要求
非涉密的关键信息基础设施、等保三级及以上系统、国家政务等重要信息系统
要开展密评工作。并且，密评管理办法也明确规定：关键信息基础设施、网络安全等级保护第三级及以上信息系统，需要每年至少评估一次。重要网络与信息系统列举如下：
-
电信网、广播电视网、互联网等基础信息网络；
-
能源、教育、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统；
-
石油石化、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统电力系统、石油天然气、油气管道等重要信息系统和重要工业控系统；
-
党政机关和使用财政资金的事业单位、团体组织使用的面向社会服务的信息系统；
-
基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统。
密评流程
包括规划阶段、建设阶段和运行阶段，对应每个阶段涉及建设单位、测评机构和密码管理部门共同维护。
信息系统在过密评时必然要依据《GB/T39786-2021 信息安全技术 信息系统密码应用基本要求》，密码应用基本要求包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行和应急处置要求项。《GB/T39786-2021 信息安全技术 信息系统密码应用基本要求》对应有第一级、第二级、第三级、第四级的指标要求，第五级要求略。
密评过程中，涉及的密码设备/工具大致包括：智能密码钥匙（UKEY）、动态令牌认系统、协同签名系统、国密浏览器、安全网关、密码机、数字认证系统、密钥管理系统、密码服务平台等。
智能密码钥匙是一种具备密码运算、密钥管理能力，可提供密码服务的终端密码设备，其主要作用是存储用户秘密信息(如私钥、数字证书)，完成数据加解密、数据完整性校验、数字签名、访问控制等功能。智能密码钥匙一般使用USB接口形态，因此也被称作USB Token或者USB Key。
UKEY是以国密安全芯片为基础，遵照国家密码管理局颁布的《智能IC卡及智能密码钥匙密码应用接口规范》要求设计的一款多功能、多应用 UKEY，支持 Windows、Linux等多种操作系统，并已适配国产操作系统，支持DES、AES、SM1、SM4对称加密算法，支持RSA、ECC（SM2）非对称算法，支持SHA（SM3）哈希算法。可广泛应用在PKI认证、数字签名、数据（实时）加解密等方面。
动态令牌认证系统是一种基于时间同步或事件同步的一次性密码系统，旨在提升身份认证的安全性，通常采用双因素认证机制，结合用户已知的信息（如用户名和静态密码）和用户所持有的动态令牌生成一次性密码。
主要功能包括：
生成和验证一次性密码，每次认证后密码立即失效，防止密码被盗用或猜测。
通过时间同步或事件同步确保动态密码的准确性和安全性。
支持多种客户端应用，包括专用硬件令牌、软件令牌、以及支持OTP算法的应用程序。
系统由以下几部分组成：
认证服务器：负责生成挑战因子，与用户输入的动态口令进行比对。
动态令牌：可以是硬件令牌或软件令牌，用于生成一次性密码。
客户端应用程序：用户界面，集成到用户的应用系统中，用于输入和验证动态口令 。
