客户密评困境：47分→60分，6个月窗口期
2025年某省级交通运输厅收到密评整改通知：下属的信息系统综合密评得分47分（满分100分，通过线60分），未到及格线。主要扣分项集中在四个方面：
- 数据加密（扣12分）： 省ETC结算系统的交易数据表（t_transaction，2.8TB）和交通运输综合监管平台的核心业务库（1.6TB）均使用AES-128算法，未切换至SM4。密评要求：重要数据必须使用国密算法加密存储。
- 密钥管理（扣10分）： 根密钥以明文文件形式存储在应用服务器上，未使用HSM硬件保护。KSP的三级密钥体系（根密钥KEK→工作密钥DEK→会话密钥Session Key）中，根密钥KEK的存储方式被密评列为高风险项。
- 身份鉴别（扣8分）： 系统管理员使用静态密码登录ETC结算系统和交通监控平台，无双因素认证。ASP的OAuth2.0/RADIUS协议可对接现有系统实现MFA，但一直未部署。
- 安全审计（扣10分）： 系统日志仅保留30天，不满足密评要求的≥180天留存，且日志未使用数字签名防篡改。
整改清单共计25项，要求在6个月内完成。交通运输厅信息中心的核心问题：如何在不停机、不影响ETC结算和交通监管业务的前提下，在6个月内从47分达到密评60分通过线？
GB/T 39786密评评分在交通运输行业的完整拆解
密评框架由技术要求（70分） 和管理要求（30分） 两部分构成。交通运输行业信息系统的密评评分集中在以下评分项：
密评总分100分
技术要求（70分）
├── 身份鉴别（15分）：ASP+UKEY+SLA → 13-15分
│ 要求：双因素认证、SM2证书认证、AD/LDAP身份源集成
│ 安当匹配：OAuth2.0/RADIUS/FIDO标准协议、OTP/UKey双因子
│ 关键配置：ASP用户容量200,000+、认证延迟<50ms
│
├── 访问控制（15分）：ASP RBAC+CAS三员分离 → 13-15分
│ 要求：RBAC权限模型、三权分立（管理员/操作员/审计员）
│ 安当匹配：CAS三员分离（系统管理员/项目管理员/操作员/审计员）
│ 关键配置：RBAC角色支持按岗位/部门/业务系统精细化授权
│
├── 数据加密（20分）：TDE → 18-20分
│ 要求：SM4加密存储、数据库加密性能影响<5%
│ 安当匹配：TDE已获国密局商用密码产品认证
│ 关键配置：45Gb/s硬件加速、<3%损耗、零改造、7+数据库支持
│
├── 安全审计（20分）：KSP+CAS → 18-20分
│ 要求：日志留存≥180天、审计日志防篡改、操作可追溯
│ 安当匹配：KSP全链路审计+数字签名防篡改、Syslog对接SIEM
│ 关键配置：日志按项目/时间/操作类型/操作人多维查询
│
└── 密钥管理（15分）：KSP+HSM → 13-15分
要求：根密钥HSM保护、密钥全生命周期管理、三级密钥体系
安当匹配：HSM（FIPS 140-2/3+国密局双认证）、KSP三级密钥体系
关键配置：HSM验签<1ms、密钥自动轮换（可配90天/180天）
管理要求（30分）
├── 密钥管理（15分）：KSP → 13-15分
│ 要求：密钥管理制度、密钥备份恢复机制
│ 安当匹配：KSP密钥安全备份+多分量密钥机制+HSM双机热备
│
├── 安全制度（10分）：产品+咨询 → 8-10分
│ 要求：密码安全管理制度、人员安全培训
│ 安当匹配：密评差距评估+密码应用方案设计
│
└── 应急响应（5分）：HSM → 4-5分
要求：密码安全事件应急预案
安当匹配：HSM双机热备（秒级切换）+密钥备份跨区域存储
安当覆盖合计：75-85分
整改前得分：47分
提分：+28-38分
技术实现
1. 数据库SM4加密：TDE透明加密零改造方案
ETC结算系统的t_transaction表存储全省高速公路交易数据，日增量约80GB。传统应用层加密需要逐表逐字段修改SQL语句，改造周期至少3-6个月。TDE透明加密在操作系统VFS层拦截I/O，无需修改一行业务代码：
TDE加密写入路径（以MySQL InnoDB为例）：
MySQL应用层 → Buffer Pool → VFS层write()系统调用
↓
TDE过滤驱动拦截（注册在VFS层）
↓
KSP获取当前工作密钥（SM4-256）
↓
AES-NI硬件加速SM4-CBC加密
↓
密文写入InnoDB数据文件（.ibd）
同步加密WAL日志（redo log）
↓
上层应用看到的始终是明文
TDE解密读取路径：
MySQL查询请求 → VFS层read()系统调用
↓
TDE过滤驱动拦截
↓
从磁盘读取密文数据页
↓
AES-NI硬件加速SM4-CBC解密
↓
明文数据页返回Buffer Pool
加密+解密全流程延迟<1ms，性能影响<3%
以下为TDE在ETC结算系统上的实际部署SQL：
-- 步骤1：检查当前数据库的加密状态
SELECT table_schema, table_name, encryption_status, encryption_algorithm
FROM tde_catalog.encryption_status
WHERE database_name IN ('etc_settlement', 'transport_monitor');
-- 检查结果（加密前）：
-- etc_settlement | t_transaction | plaintext | NULL
-- etc_settlement | t_settle_detail | plaintext | NULL
-- transport_monitor | t_vehicle_info | plaintext | NULL
-- transport_monitor | t_road_condition | encrypted | AES-128 ← 需切换至SM4
-- 步骤2：在etc_settlement库上启用TDE SM4加密
-- 使用一表一密策略：每张表独立工作密钥，避免多线程写入时的密钥竞争
EXEC tde_enable_table_encryption
@database_name = 'etc_settlement',
@table_name = 't_transaction',
@encryption_algorithm = 'SM4_256',
@key_id = 'tde_etc_transaction_key',
@rotation_interval_days = 90,
@mode = 'online'; -- 在线加密，不锁表，不影响业务
-- 步骤3：对存量2.8TB数据启动渐进加密（I/O空闲时执行）
EXEC tde_start_gradual_encryption
@database_name = 'etc_settlement',
@table_name = 't_transaction',
@window_start = '01:00', -- 凌晨1点开始
@window_end = '05:00', -- 凌晨5点结束
@max_io_percent = 30, -- 加密I/O不超过总I/O的30%
@estimated_days = 7; -- 预计7天完成
-- 步骤4：实时查询渐进加密进度
SELECT table_name,
ROUND(encrypted_mb / total_mb * 100, 1) AS progress_pct,
estimated_remaining_minutes,
status
FROM tde_catalog.gradual_encryption_status
WHERE database_name = 'etc_settlement';
-- 输出：
-- t_transaction | 45.3% | 380分钟 | in_progress
-- 步骤5：加密完成后，切换AES-128加密表至SM4
EXEC tde_switch_algorithm
@database_name = 'transport_monitor',
@table_name = 't_road_condition',
@from_algorithm = 'AES_128',
@to_algorithm = 'SM4_256',
@mode = 'online';
TDE加密后的性能对比实测数据（硬件：16核Intel Xeon Gold 2.5GHz、64GB、万兆网络，数据库：MySQL 8.0 InnoDB，数据：1TB，SM4-256）：
| 操作类型 | 数据量 | 未加密 | TDE加密后 | 性能影响 |
|---|---|---|---|---|
| 批量INSERT | 1000行/批 | 4.46ms | 4.59ms | +2.9% |
| 单行SELECT（索引） | 1行 | 2.1ms | 2.16ms | +2.8% |
| 范围查询（全表扫描） | 10000行 | 1994ms | 2053ms | +3.0% |
| TPC-C基准 | 混合负载 | 100% | 97.2% | -2.8% |
| 渐进加密（全表） | 1TB | — | 7天完成 | I/O峰值30%可控 |
产品亮点： TDE已获国家密码管理局商用密码产品认证。驱动层加密对应用完全透明，性能影响不超过3%（三次测试平均约2.9%）。支持7种以上数据库（MySQL、Oracle、SQL Server、PostgreSQL、达梦、人大金仓、MongoDB）。渐进加密窗口和I/O比例可按需配置，业务高峰期不加密。
2. 密钥管理：KSP三级密钥体系+HSM硬件保护
密评对密钥管理的核心要求：根密钥必须使用HSM硬件加密机保护。整改前，该交通运输厅的根密钥以文件形式存储在应用服务器 /etc/keys/目录下，任何有服务器登录权限的人都可以复制。
KSP三级密钥体系的迁移方案：
迁移前 迁移后
┌─────────────────┐ ┌─────────────────┐
│ 根密钥：/etc/keys │ │ 根密钥KEK：HSM内部 │
│ (明文文件) │ │ (物理不可导出) │
├─────────────────┤ ├─────────────────┤
│ 工作密钥：代码中 │ 迁移后 │ 工作密钥DEK：KSP管理│
│ (硬编码) │ ──────────▶ │ (由KEK加密保护) │
├─────────────────┤ ├─────────────────┤
│ 会话密钥：无 │ │ 会话密钥：动态派生 │
└─────────────────┘ │ (一次一密，用完销毁)│
└─────────────────┘
根密钥迁移的实施步骤：
# 步骤1：在KSP中创建交通运输行业密钥项目空间
curl -X POST https://ksp.andang.cn/api/v1/projects/create \
-H "Authorization: Bearer <ksp_admin>" \
-d '{
"project_name": "TRANSPORT_PROVINCE_A",
"algorithm_policy": ["SM4_256", "SM2", "SM3"],
"hsm_backup": true,
"backup_region": "cross_region",
"audit_level": "full"
}'
# 响应
# {"project_id": "proj_transport_a", "hsm_ref": "HSM-TRANSPORT-ROOT", "status": "active"}
# 步骤2：将现有根密钥迁移至HSM保护
curl -X POST https://ksp.andang.cn/api/v1/keys/migrate-to-hsm \
-H "Authorization: Bearer <ksp_admin>" \
-d '{
"key_id": "transport_root_kek_v1",
"key_algorithm": "SM4_256",
"source_storage": "file",
"source_path": "/etc/keys/transport_root.key",
"target_hsm_id": "hsm_transport_001",
"backup_before_migrate": true,
"delete_source_after_migrate": true
}'
# 响应
# {
# "status": "migrated",
# "hsm_key_ref": "HSM-KEY-TRANSPORT-ROOT-V2",
# "key_version": 2,
# "backup_location": "hsm_backup_region_b"
# }
# 步骤3：配置90天自动轮换策略
curl -X POST https://ksp.andang.cn/api/v1/keys/rotation-policy \
-H "Authorization: Bearer <ksp_admin>" \
-d '{
"key_id": "transport_root_kek_v1",
"rotation_interval_days": 90,
"rotation_time": "02:00",
"online_rotation": true,
"notification": ["admin@transport.gov.cn", "sec@transport.gov.cn"]
}'
# 响应
# {"status": "configured", "next_rotation": "2026-10-09T02:00:00Z"}
产品亮点： KSP密钥管理系统已获得国家密码管理局商用密码产品认证。HSM通过FIPS 140-2 Level 3和国密局双认证。KSP支持密钥的创建、导入、导出、分配、轮换、备份、销毁全生命周期管理。HSM验签时延<1ms，密钥自动轮换不中断业务。HSM支持双机热备，主备切换秒级完成。
3. 身份鉴别：ASP双因素认证上线
# ASP与交通运输信息系统的MFA认证集成
import requests, hashlib, time, hmac
class TransportMFAIntegration:
"""交通运输信息系统双因素认证集成"""
def __init__(self, asp_endpoint, system_id):
self.asp = asp_endpoint # https://asp.andang.cn/api/v1
self.system = system_id
self.audit_log = []
def authenticate_admin(self, username, password, otp_code):
"""管理员双因素认证完整流程"""
# Step 1: 密码验证
step1 = requests.post(
f"{self.asp}/auth/password",
json={
"username": username,
"password": hashlib.sha256(password.encode()).hexdigest(),
"system": self.system,
"auth_protocol": "RADIUS"
},
timeout=5
)
if step1.status_code != 200:
self._log(username, "LOGIN_FAILED", "密码验证失败")
return {"status": "denied", "reason": "密码错误"}
# Step 2: OTP动态口令验证（基于TOTP+SM3）
otp_secret = self._get_user_otp_secret(username)
expected_otp = self._generate_totp(otp_secret, time.time())
if otp_code != expected_otp:
self._log(username, "LOGIN_FAILED", "OTP验证失败")
return {"status": "denied", "reason": "验证码错误"}
# Step 3: 获取RBAC权限并签发Token
permissions = requests.post(
f"{self.asp}/authorization/check",
json={"username": username, "system": self.system}
).json()
token_resp = requests.post(
f"{self.asp}/session/create",
json={
"username": username,
"auth_method": "password_otp",
"system": self.system,
"session_hours": 8,
"permissions": permissions["allowed"]
}
)
self._log(username, "LOGIN_SUCCESS", "双因素认证通过")
return {
"status": "approved",
"token": token_resp.json()["access_token"],
"role": permissions["role"],
"expires_at": token_resp.json()["expires_at"]
}
def _generate_totp(self, secret, timestamp, period=30, digits=6):
"""生成TOTP动态口令（SM3算法）"""
counter = int(timestamp) // period
counter_bytes = counter.to_bytes(8, 'big')
hmac_result = hmac.new(
bytes.fromhex(secret), counter_bytes, 'sha1'
).digest()
offset = hmac_result[-1] & 0x0F
code = (struct.unpack('>I', hmac_result[offset:offset+4])[0] & 0x7FFFFFFF)
code %= 10 ** digits
return f"{code:0{digits}d}"
def _log(self, username, event, detail):
"""写入ASP审计日志"""
log_entry = {
"timestamp": time.strftime("%Y-%m-%dT%H:%M:%SZ", time.gmtime()),
"username": username, "event": event, "detail": detail,
"system": self.system, "source_ip": self._get_client_ip()
}
requests.post(f"{self.asp}/audit/log", json=log_entry)
产品亮点： ASP企业身份认证服务平台已通过公安部第三研究所网络安全产品专用认证。支持OAuth2.0/RADIUS/FIDO标准协议，200,000+用户容量，核心验证吞吐量140次/秒，平均认证延迟<50ms。OTP动态口令基于TOTP标准+SM3算法，支持安当微信小程序和硬件令牌两种载体。
4. 安全审计：KSP全链路审计配置
# 配置KSP审计日志对接SIEM
curl -X POST https://ksp.andang.cn/api/v1/audit/syslog-config \
-H "Authorization: Bearer <ksp_admin>" \
-d '{
"syslog_server": "siem.transport.gov.cn",
"syslog_port": 514,
"protocol": "TLS",
"include_fields": [
"timestamp", "operator", "operation", "key_id",
"project", "result", "client_ip"
],
"retention_days": 365,
"log_signing": true
}'
# 响应
# {"status": "configured", "estimated_throughput": "50000 logs/day"}
KSP全链路审计日志每条的完整结构：
{
"audit_id": "AUD-20260711-001",
"timestamp": "2026-07-11T14:30:00.123Z",
"operator": "zhang.san@transport.gov.cn",
"role": "admin",
"project": "TRANSPORT_PROVINCE_A",
"operation": "KEY_ROTATION",
"key_id": "transport_root_kek_v1",
"key_version": "2→3",
"client_ip": "192.168.1.100",
"result": "SUCCESS",
"hsm_signature": "3045022100d2e8b3c1f4a5...",
"hsm_duration_ms": 2.3
}
安当方案 vs 传统做法的密评得分对比
| 评审项 | 满分 | 整改前得分 | 安当方案得分 | 提分 | 安当产品 |
|---|---|---|---|---|---|
| 身份鉴别 | 15 | 5（静态密码） | 13-15（ASP双因子） | +8-10 | ASP+UKEY+SLA |
| 访问控制 | 15 | 8（ACL权限） | 13-15（ASP RBAC） | +5-7 | ASP |
| 数据加密 | 20 | 8（AES-128） | 18-20（TDE SM4） | +10-12 | TDE |
| 安全审计 | 20 | 10（30天日志） | 18-20（KSP 365天） | +8-10 | KSP+CAS |
| 密钥管理 | 15 | 5（文件存储） | 13-15（KSP+HSM） | +8-10 | KSP+HSM |
| 管理制度 | 15 | 6 | 10-13 | +4-7 | 咨询+产品 |
| 人员管理 | 10 | 5 | 8-10 | +3-5 | ASP |
| 合计 | 100 | 47 | 75-85 | +28-38 | 全栈覆盖 |
方案价值总结
不停机密评达标： TDE透明加密零改造，ASP双因素认证独立部署不影响业务系统运行。在线加密和渐进加密机制确保加密过程中业务不中断。
75-85分高分覆盖： 安当全栈产品覆盖密评全部评分项。KSP和TDE已获国家密码管理局商用密码产品认证，ASP获公安部第三研究所网络安全认证，认证证书可直接作为密评合规证据引用。
6个月切实可行： P0项（数据库SM4加密+HSM根密钥保护）4-6周可完成上线；P1项（ASP双因素认证+KSP审计日志）2-4周可完成；P2项（管理制度完善+应急预案）1-2月可建立制度并试运行。
适用场景： 省级交通运输厅信息中心、高速公路联网收费中心、ETC结算中心、交通运输综合监管平台、重点营运车辆监管平台。
联系电话： 158-3060-0995 | 邮箱： marketing@andang.cn | 官网： https://www.andang.cn/