国密标准推行不太顺利的样子？

[liuidetmks]

看到帖子 360 内置 sm2 证书
看了下,国家单位似乎也不太重视的样子，一些部级单位,或者央企干脆直接没用 https,这是我没想到的。

网站	证书类型	签发者
12306	RSA	DigiCert Inc
中石油	RSA	WoTrus CA Limited
国家电网	无 https	--
公安部	RSA	China Financial Certification Authority
工信部	RSA	WoTrus CA Limited
外交部	无 https	--

[wy315700]

@cszchen
RSA 算法公开
但是 RSA 算法的芯片 IP 核是不公开的。RSA 公司收入基本上靠卖这个授权。

使用他的 IP 核进行计算，可以比公开算法快很多。所以没人知道他动了什么手脚

[liuidetmks]

@jim9606 KM 密钥管理这块确实有待商榷,
速度这方面,
正是由于 AES 这些有先发优势,各类芯片厂商内置 aes 加密模块,这也正是担心的有后门的地方
SM 若果推广开了,国内相关芯片产业会跟进,形成一个产业的正向反馈

[LaureatePoet]

http://www.iie.cas.cn/
INSTITUTE OF INFORMATION ENGINEERING,CAS


IIE 用的都是 http

[Bromine0x23]

算法应该没啥问题；但是国密的认证体制要求加密私钥也放在 CA 侧，这算是明着的“后门”了

[mikeven]

一般企业适配好像也收益不大，客户端兼容性也不好。
机密单位有些要求必须适配，适配了可以提高安全性
再有就是 SM1 算法不公开需要加密芯片（贼贵），说实话门槛比较高。

[libook]

国密的推出是国家为了防范其他国家推出的算法有后门的，所以从这个目的来讲，即便有后门也是“只有我自己知道我自己的后门”是能达到安全需要的。

目前没有消息强制要求个人和非国有组织单位使用国密，普通人愿意用啥就用啥，无非是后门在谁手里的问题。

然后国家项目也是分不同场景的，公开的网站只是个宣传门户而已，能让所有人访问到才是首要目标；实际上内部核心系统肯定不是早就换了国密就是在换的过程中。

[Frankcox]

密评现在就是要求国密 SM2 和 SM4 吧，前一阵还折腾了一套支持国密的证书管理系统

[flavoury]

银监会早就要求金融机构改国密了

[7gugu]

微信小程序有一部份功能是要用 sm2 加密的，用户侧应该是无感知的

[gengchun]

这种也没有说要推广吧？真推广，政策就直接捆绑了。现在明显没有，连等保也没有要求。真有要求的都是比较关键的地方。

保密的话，按原则讲，什么样的密级，用什么等级的加密。你让所有人都用上这个加密，不等于给自己增加攻击算法的人数吗？

[AyaseEri]

银行内部在用国密

[leavic]

国家电网的计量 SOC 都要求用国密

[w3cll]

gov 的网站用不用 https 好像你敢对它干嘛一样。就放在那里，你敢 hack 它吗?

[liuidetmks]

@w3cll 县级 gov 网站被挂🐎 太正常了，不过这个和 https 没太大关系，
只要收益够大，gov 和 com 没啥区别

[cwek]

国标加密在政务系统网络的服务中有见过。但是对外互联网的话，普遍性都是 RSA 等公共的这一套，360 说推过支持 SM 证书的浏览器，也可能测试方式不对（ SSL 客户侧推头没有），导致服务器不适配。

当然也有可能服务器侧真的不适配（因为听说如 nginx 要专门打支持补丁）

[psiKENT]

电力系统已经强制使用了

[nomagick]

sm 系列算法已经在最新的 openssl 里面了，列席国际标准一员，和 aes sha 系列没有本质区别

[westoy]

@w3cll gov 和 edu 以前是被挂黑帽的重灾区........

[ZeroClover]

国密又不是只有 SM2

X.509 Server 这种场合，特别是面向公共服务用国密也不合适啊，但是很多客户端应用和 M2M 的都换国密了

[Cielsky]

@gefranks #5 确实，毕竟大家一直被美国监控着，老大都这样干了，老二跟着干，也不是没可能