《商用密码应用安全性评估测评工具指引》.pdf

商用密码应用安全性评估

测评工具指引

中国密码学会密评联委会

二〇二四年十一月

目次

前言III

1范围1

2规范性引用文件1

3术语、定义和缩略语2

3.1术语和定义2

3.2缩略语3

4测评工具类别3

4.1概述3

4.2密码应用安全测评工具4

4.3密码应用安全测评辅助工具5

4.4密评报告编制工具5

4.5密评项目管理工具5

5测评工具安全要求5

5.1总体要求5

5.2部署和使用6

5.3维护和更新6

5.4卸载和更换6

6测评工具技术要求6

6.1密码应用安全测评工具6

6.2密码应用安全测评辅助工具14

6.3密评报告编制工具17

6.4密评项目管理工具17

7信息系统商用密码应用安全测评工具使用指引18

7.1概述18

7.2物理和环境安全测评工具使用指引18

7.3网络和通信安全测评工具使用指引19

7.4设备和计算安全测评工具使用指引20

7.5应用和数据安全测评工具使用指引21

附录A（资料性）密码应用安全测评工具使用示例24

A.1密码算法校验工具使用示例24

A.1.1算法校验场景示例24

A.1.2密码算法校验工具测试实施示例25

A.2协议分析工具使用示例28

A.2.1协议分析场景示例28

A.2.2协议分析工具测试实施示例28

A.3数字证书校验工具使用示例31

A.3.1数字证书校验场景示例31

A.3.2数字证书校验工具测试实施示例32

A.4随机数检测工具使用示例32

I

A.4.1随机数检测场景示例32

A.4.2随机数检测工具测试实施示例33

A.5电子签章校验工具使用示例36

A.5.1电子签章校验场景示例36

A.5.2电子签章校验工具测试实施示例36

附录B（资料性）密码算法校验工具参考表39

B.1对称密码算法39

B.2密码杂凑算法41

B.3消息鉴别码（MAC）算法41

B.4非对称密码算法44

附录C（资料性）密码应用安全测评辅助工具使用示例48

C.1源代码审计工具使用示例48

C.1.1源代码审计场景示例48

C.1.2源代码审计测试实施示例48

C.2编码转换工具使用示例50

C.2.1编码转换工具场景示例50

C.2.2编码转换工具测试实施示例50

C.3APDU报文分析工具使用示例52

C.3.1APDU报文分析工具场景示例52

C.3.2APDU报文分析工具测试实施示例52

参考文献54

II

前言

本文件不涉及推荐或推广任何特定产品或服务，未经中国密码学会授权，任何单位或个人不得将本

文件用于商业宣传、广告推广、产品销售或其他任何商业性活动。

本文件根据商用密码应用安全性评估实际需要给出了测评工具的逻辑分类，难免存在不完善不恰

当之处。实际研制、使用测评工具