行業(yè)動態(tài)

英國推出密碼使用新安全標(biāo)準(zhǔn)SS-007

來源:聚銘網(wǎng)絡(luò)    發(fā)布時(shí)間:2021-07-19    瀏覽次數(shù):
 

信息來源:安全內(nèi)參


經(jīng)歷六次修改,在吸收內(nèi)、外部審查意見和專家評審意見基礎(chǔ)上,英國安全保衛(wèi)總辦公室(Chief Security Office)發(fā)布了密碼使用安全標(biāo)準(zhǔn)(SS-007)。該標(biāo)準(zhǔn)不包含用戶界面,關(guān)于可訪問性的問題并不適用該標(biāo)準(zhǔn),同時(shí)標(biāo)準(zhǔn)實(shí)施情況會在實(shí)施之后六個月內(nèi)進(jìn)行回顧審查。

一、安全標(biāo)準(zhǔn)制定目的

英國安全保衛(wèi)總辦公室制定本密碼使用安全標(biāo)準(zhǔn),旨在提供一系列的控制措施,通過這些措施確保加密技術(shù)的實(shí)施能夠達(dá)到授權(quán)當(dāng)局(管理局)批準(zhǔn)的標(biāo)準(zhǔn)和所必需的安全級別。使得供應(yīng)商、技術(shù)架構(gòu)師、軟件工程師、開發(fā)人員和安全人員等人員能夠按照已定義的安全要求開展工作,進(jìn)而將已知威脅(包括物理和邏輯威脅)的風(fēng)險(xiǎn)降至可接受的水平。

二、確定了適用范圍

本標(biāo)準(zhǔn)涵蓋了政府安全分類政策(GSCP)的官方數(shù)據(jù)處理加密系統(tǒng),包括對官方敏感問題進(jìn)行的處理;即屬于此類別的供應(yīng)商的所有加密系統(tǒng)(密碼系統(tǒng))都要符合本安全標(biāo)準(zhǔn)中規(guī)定的要求。這些要求適用于新安裝和現(xiàn)有的所有系統(tǒng)。并且不受產(chǎn)品限制的適用于部門使用的所有加密系統(tǒng)。

三、提供了測試的可能方案

本標(biāo)準(zhǔn)中提出或引用的控制措施,都建議進(jìn)行正式的信息技術(shù)安全檢查或滲透測試,以提供充分的和有效的證據(jù)。

四、對安全控制提出的重要要求

1、對軟件和硬件的要求

加密軟件必須至少獲得FIPS 140-21級認(rèn)證或由國家網(wǎng)絡(luò)安全中心提供的認(rèn)證,并按照管理局的修補(bǔ)標(biāo)準(zhǔn)更新加密軟件;加密硬件必須至少獲得FIPS 140-22級認(rèn)證或由國家網(wǎng)絡(luò)安全中心提供的認(rèn)證。二者都必須根據(jù)與認(rèn)證或批準(zhǔn)相關(guān)的條款和條件進(jìn)行部署和配置,同時(shí)要在可用供應(yīng)商支持的情況下使用。

2、對加密算法的要求

密碼算法和操作模式必須從管理局批準(zhǔn)的密碼算法文件的最新版本中選擇。并且至少每年審查一次已批準(zhǔn)的加密算法列表。如果部署了多種算法,在技術(shù)上還必須強(qiáng)制執(zhí)行給出的優(yōu)先順序。

(1)①協(xié)商或交換對稱加密的密鑰;②創(chuàng)建和驗(yàn)證數(shù)字簽名;③在對稱加密不適用的情況下進(jìn)行加密。這三種情況,只能且必須使用經(jīng)批準(zhǔn)的非對稱加密。

(2)①創(chuàng)建消息摘要;②生成數(shù)字簽名;③信息驗(yàn)證碼(MAC/HMAC);④偽隨機(jī)函數(shù)(PRF);⑤密鑰派剩函數(shù)(KDF)。這五種情況,必須使用已獲批準(zhǔn)的加密哈希算法。

(3)當(dāng)信息進(jìn)行加密和驗(yàn)證時(shí),必須在加密后計(jì)算消息驗(yàn)證碼(MAC)。

(4)橢圓曲線加密(ECC)曲線和關(guān)鍵參數(shù),必須從FIPS 186-4附錄D節(jié)中的選擇,建議選擇D.1.2和D.1.3.

(5)迪菲-海爾曼(DH)密鑰交換算法,必須與DH組14;DH組15;或DH組16;或生成長度為2048位的算法一起使用。

3、確定了密鑰項(xiàng)目的生成條件

如果在尚未批準(zhǔn)的軟件中部署密鑰,為了提高系統(tǒng)安全性而生成的偽隨機(jī)數(shù)據(jù)(包括初始化向量)必須使用密碼安全的熵源。

運(yùn)行在固態(tài)硬盤上的虛擬機(jī)和操作系統(tǒng)只能用于生成密碼偽隨機(jī)數(shù)。

4、限制了數(shù)據(jù)的壓縮的條件

數(shù)據(jù)壓縮必須是與加密和解密操作獨(dú)立的過程。禁止與加密和解密功能一起執(zhí)行的壓縮程序。

5、確定了加密消息的填充過程

通過批準(zhǔn)的非對稱算法加密的消息,必須避免使用PKCS#1 v1.5。

6、確定了傳輸過程中的加密的情形

加密通信傳輸管理機(jī)構(gòu)擁有或管理的基礎(chǔ)結(jié)構(gòu),必須設(shè)計(jì)為將支持內(nèi)容檢查功能作為安全邊界標(biāo)準(zhǔn)的一部分。

(1)①在應(yīng)用層,使用傳輸層安全協(xié)議(TLS);②在網(wǎng)絡(luò)層,使用互聯(lián)網(wǎng)協(xié)議安全協(xié)議(IPSec);③安全嵌套(SSH)[僅用于系統(tǒng)的遠(yuǎn)程管理;不允許通過SSH傳輸任何受保護(hù)標(biāo)記的數(shù)據(jù)];④定制的解決方案應(yīng)由管理局風(fēng)險(xiǎn)管理過程保證并經(jīng)管理局批準(zhǔn)。這四種情況下,必須保護(hù)加密的通信通道。

(2)①在CTR模式或GCM模式下的“計(jì)數(shù)器”已用盡了初始化向量的所有可能的唯一值。②對于無法跟蹤確切的傳輸數(shù)據(jù)量和/或無法使用不同的模式,不應(yīng)超過8小時(shí)。這兩種情況下,加密會話必須重新協(xié)商對稱密鑰。

7、規(guī)定了靜態(tài)加密的要求

便攜式設(shè)備(比如:筆記本電腦、手機(jī)等)上的所有用戶可寫分區(qū)和便攜式存儲介質(zhì)都必須在介質(zhì)級別加密。

在靜態(tài)時(shí)加密的信息也必須受到完整性保護(hù)。當(dāng)多層級加密可用時(shí)(如媒體級和數(shù)據(jù)庫字段級),每層級必須按比例應(yīng)用,以減輕風(fēng)險(xiǎn)評估過程中發(fā)現(xiàn)的風(fēng)險(xiǎn)。

8、規(guī)定了訪問所需的驗(yàn)證信息的條件

授予授權(quán)資產(chǎn)訪問的驗(yàn)證信息必須同時(shí)滿足以下三個條件:

①不得以純文本或任何可逆格式存儲;

②用至少64位偽隨機(jī)數(shù)據(jù)制作;

③使用管理局批準(zhǔn)的加密算法,用其中最新批準(zhǔn)版本所描述的方法進(jìn)行散列。

9、確定了加密密鑰管理的要求

加密密鑰必須按照SS-002公鑰基礎(chǔ)設(shè)施安全標(biāo)準(zhǔn)中提供的控件進(jìn)行管理和保護(hù)。

附:參考資料

https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/882760/dwp-ss007-security-standard-use-of-cryptography-v1.1.pdf


 
 

上一篇:喜訊!聚銘網(wǎng)絡(luò)助力山西黎城農(nóng)村商業(yè)銀行股份有限公司推動安全合規(guī)建設(shè)

下一篇:Magecart 黑客將竊取的信用卡數(shù)據(jù)隱藏到圖像中并在暗網(wǎng)中出售