All Questions
Newest Active Unanswered Frequent
Score
View
Card Compact
  • shuai 安正密评张浩埴 13
    •
    关于DAK中的K的判定
    想请教一个关于密评量化评估 DAK 中 K 指标的问题： 假设某堡垒机采用 USBKey 进行身份鉴别，USBKey 本身具有商用密码产品认证证书，但 USBKey 内置的用于身份鉴别的数字证书为非国密证书（例如 RSA 证书），实际身份鉴别过程中使用的也是非国密数字签名算法。 这种情况下，虽然使用了具有商用密码产品认证证书的 USBKey，但实际身份鉴别采用的密码算法并非国密算法，那么在量化评估中，DAK 的 K 指标是否可以得分？如果可以，得分依据是什么？
    miping
    1 votes
    1 answers
    46 views
  • shuai 吴赏群 46
    •
    数据整体加密实现数据库透明加解密相关问题
    对于这个不懂怎么理解才能提升安全效果【是在数据库层还是应用系统层上做】，单独一层面做好的措施都意义不大，想咨询下大家的看法或专家所描述的这是是指 在哪个层面做好
    miping
    1 votes
    2 answers
    73 views
  • shuai 吴赏群 46
    •
    密评里对于重要数据是文件的，有哪些好的加密方式吗？
    密评里对于重要数据是文件的，有哪些好的加密方式吗？
    migai
    0 votes
    1 answers
    37 views
  • shuai 吴赏群 46
    •
    43207里面对这个“宜”的不适用描述，是说不采用密码技术，但风险控制有效时，这个指标可以不适用吗？
    43207里面对这个“宜”的不适用描述，是说不采用密码技术，但风险控制有效时，这个指标可以不适用吗？例如，应用层身份鉴别，不采用密码技术，采用短信验证+人脸识别登录系统，这种情况下，身份鉴别可以不适用吗？或者说，还需要哪些替代性风险控制措施，才能让这个指标不适用？
    miping
    0 votes
    1 answers
    15 views
  • shuai 吴赏群 46
    •
    系统需共享重要数据时机密性怎么做
    目前有一个场景，系统目前需要做数据加密，但是他这个加密数据又需要给别的系统共享，而且这个是直接从数据库传数据，有很多敏感数据，这个机密性有什么好的办法去做吗
    migai
    0 votes
    1 answers
    8 views
  • shuai 吴赏群 46
    •
    双层vpn嵌套场景的处理？
    运维终端通过互联网登录不合规的VPN客户端后，再拨号访问合规VPN客户端接入内网（只能访问此客户端），才能访问内网资源，这种情况下网络层面信道测评该怎么处理
    miping
    0 votes
    1 answers
    20 views
  • shuai 吴赏群 46
    •
    网络层和应用层特定密码应用场景的DAK及风险判定
    场景： (1)网络和通信层面-通信过程中重要数据的机密性实现机制如下：使用TLS1.2协议，证书部署在合规网关上，非国密算法套件强度大于112bit； (2)应用和数据安全层面-重要数据传输机密性实现机制如下：前端动态生成临时对称密钥（每次建立链接时由前端JS伪随机代码动态生成）、服务端生成生成临时SM2密钥对(每次建立链接时由服务端代码动态生成公私钥对)，前端重要数据使用临时对称密钥加密，然后使用服务端传来的SM2公钥加密临时对称密钥，最后将重要数据密文和临时对称密钥密文一...
    miping
    0 votes
    1 answers
    13 views
  • shuai 吴赏群 46
    •
    通道的访问控制设备有多个，怎么判定及量化评估？
    我们认为一个通道的访问控制设备涉及多台，如防火墙实现安全策略的的访问、核心交换机路由器等实现路由或ACL隔离，可能还有其她；所有大部分情况访问控制设备有多个。那是否结论判定为部分符合，那量化评估是否就按照最低得分0.25来呢？
    miping
    0 votes
    1 answers
    4 views
  • shuai 吴赏群 46
    •
    网络层访问控制完整性含密码设备及非密码设备的判定？
    FAQ关于网络层访问控制完整性，测评对象包括通道中实现访问控制的设备 如核心交换机、防火墙安全设备以及密码设备，依据FAQ的解析来看，当前也仅有密码设备可以算作符合，那其他非密码设备的访问控制都是不符合，那网络层访问控制完整性单项测评结论是否按照部分符合来判断？
    miping
    0 votes
    1 answers
    11 views
  • shuai 吴赏群 46
    •
    客户端是通用浏览器密钥不安全，解决办法只能用国密浏览器吗？否则密钥就存在高风险？
    互联网用户访问业务系统的VPN，客户端TLS协议套件中保护数据机密性派生的对称密钥。因为客户端是通用浏览器密钥不安全，解决办法只能用国密浏览器吗？否则密钥就存在高风险。在实际情况中实现难度很大。
    miping
    0 votes
    1 answers
    8 views
    • Hot Questions
    关于DAK中的K的判定
    1 answers