【重点必读】|《商用密码随机抽查事项清单》要点解读与应对策略

近期，国家密码管理局发布了《商用密码随机抽查事项清单（2024年版）》公告，抽查类别包括商用密码检测和商用密码应用、电子认证服务使用密码、电子政务电子认证服务。其中抽查清单序号3的抽查类别为商用密码应用与应用安全息息相关，要求使用国密算法（SM1、SM2、SM3、SM4、SM7、SM9、ZUC等），并采取必要的密码安全防护措施，并防止数据泄露、篡改等。

主要抽查内容

合规性：检查网络与信息系统运营者是否按照相关法律法规和政策要求使用商用密码进行保护，例如是否使用经国家密码管理部门批准的商用密码产品，是否按照密码安全要求进行密码配置和使用等。

正确性：检查网络与信息系统运营者是否正确地使用商用密码技术、产品和服务的，例如是否正确地配置密码算法、密钥管理、密码协议等，是否采取了必要的密码安全防护措施等。

有效性：检查网络与信息系统运营者使用商用密码技术、产品和服务的实际效果，例如密码保护机制是否能够有效防止数据泄露、篡改等安全风险，密码安全事件是否能够得到及时有效的处理等。

VulHunter检测密码技术，保障应用安全与合规

开源网安灰盒安全测试平台VulHunter基于交互式应用安全测试 (IAST) 技术，可帮助企业检测应用是否使用了国家规定的密码技术，以及该密码技术是否存在安全风险，从而保障应用安全性与合规性。

VulHunter通过深入分析应用运行时的行为，上报应用使用的加解密算法。通过持续监控和实时警报，开发人员和安全团队可以迅速响应，替换为更安全的国密算法（SM1、SM2、SM3、SM4、SM7、SM9、ZUC等），极大增强应用安全性。

此外，VulHunter可以监控API请求中是否使用了加解密算法以及加解密的算法类型。VulHunter在完成业务功能测试的同时，也能完成API加解密算法的检测，避免通过API传输的敏感数据泄露。

VulHunter另一大亮点是支持自定义算法函数。企业可以根据自身业务需求和安全策略，自定义需要监控的加密与解密算法函数，包括通用商用加解密算法（如AES、RSA等）以及国密算法（如SM2、SM3、SM4等）。通过简单的配置界面，可以添加、修改或删除算法函数列表，精准检测出请求中使用的密码算法类型。

开源网安灰盒安全测试平台VulHunter

开源网安灰盒安全测试平台（VulHunter），作为国内首款基于IAST技术自主研发的灰盒安全检测产品，可在研发测试阶段实时检测运行时的应用及API漏洞，具有高覆盖、低误报、实时检测等优点，并可与DevSecOps流程无缝融合。