想请教一个关于密评量化评估 DAK 中 K 指标的问题：
假设某堡垒机采用 USBKey 进行身份鉴别，USBKey 本身具有商用密码产品认证证书，但 USBKey 内置的用于身份鉴别的数字证书为非国密证书（例如 RSA 证书），实际身份鉴别过程中使用的也是非国密数字签名算法。
这种情况下，虽然使用了具有商用密码产品认证证书的 USBKey，但实际身份鉴别采用的密码算法并非国密算法，那么在量化评估中，DAK 的 K 指标是否可以得分？如果可以，得分依据是什么？
1 Answers
按照智能密码钥匙检测规范 GM/T 0048-2016中，智能密码钥匙的检测已经包含RSA算法及其相对应的数字签名、验证等一些功能也包括密钥的生命周期管理。如果其模块等级符合系统等级的相应要求，如三级使用二级密码模块，且数字证书是由合规的第三方签发或者自签发证书其使用的密码产品安全等级应与信息系统密码应用要求的等级相符，并密钥管理生命周期不存在问题，则本人认为k应该给分。
k 的打分按照量化评估中原话是密钥的全生命周期管理是否安全，用于密码计算或密钥管理的密码产品/密码服务是否安全。是否安全我的理解跟算法无关，算法的体现在A部分。
当然也还要考虑rsa的密钥长度是否大于等于2048位，密钥的生成等生命周期是否确实是由通过检测的智能密码钥匙进行生成或管理。
以上仅为本人观点，可能存在误导，仅供参考。
Related