国密标准推行不太顺利的样子？

[liuidetmks]

看到帖子 360 内置 sm2 证书
看了下,国家单位似乎也不太重视的样子，一些部级单位,或者央企干脆直接没用 https,这是我没想到的。

网站	证书类型	签发者
12306	RSA	DigiCert Inc
中石油	RSA	WoTrus CA Limited
国家电网	无 https	--
公安部	RSA	China Financial Certification Authority
工信部	RSA	WoTrus CA Limited
外交部	无 https	--

[julyclyde]

你看到不支持国密的证书，会不会是因为
你用的客户端不支持国密？

[jedihy]

@liuidetmks 举国之力推广外国都不会用的。最多也就墙内玩玩。

[lanternxx]

@whileFalse 国内 CFCA SHECA GDCA 三家都有被信任的根证书

[Corua]

既要软件生态支持，又要大成本大精力改造旧系统。企业内都用不好这技术，还怎么给普通人用（从业半年测评有感

[Cu635]

@linglin0924
@gefranks
你俩一唱一和的，是在说 RSA 的那个商业实现么？


@KoMAsS121
@liuidetmks
老外自己说有后门，也就动手找了，这不就找到了 rsa 的一个商业实现的后门了嘛。
DES 是因为加密过程中必须要用到一个黑盒（标准里面规定的），而西方世界在密码领域有过设置陷阱的前科，所以对这个黑盒猜测这里有后门才是应该的……
有根据的披露“有后门”是正义，而“证明有后门是个非常困难的事情，但是我相信肯定是有后门的”这就是诽谤。


@jim9606
不，这不是“既生瑜何生亮”的问题，而是人家定的用什么曲线、什么参数，选择理由是不透明的，很有可能是因为这个曲线这个参数下的加密强度最小，暴力解密需要的运算时间可以通过优化得到最短；或者是有漏洞，可以用特殊方法简单解密。
要不然，也就不会有“EdDSA(Curve25519)……是更好选择”这一说了。
而且请注意，这些“阴谋”论也都是国外提出来的，涉及不到天朝……


@Bromine0x23
@jinliming2
强制要私钥这不叫“后门”，这叫抢劫……


@itemqq
@pusheax
问题就是，二战时期英美已经把德国的恩尼格码给破解了，而且是扎实的从数学原理到工程实践的破解，机械-电子复合的计算机也已经经历过大规模的实践检验了，等到战后殖民地独立浪潮的时候，西方世界还把恩尼格码机器卖给这些新独立国家，还宣传说是“不可破解的密码” 。并且这些前宗主国还保留了针对这些新独立国家进行密码破译的部门。
有了这个前科，DES 的那个黑盒既然不公开，那么怀疑有后门才是应该的。

[iyaozhen]

额 https 证书不能说明什么呀，这个还要考虑兼容性嘛

但代码里面加密数据存储已经用起来了

[Corua]

@m3s 全国软硬密码产品认证机构不过个位数，信息系统蜜评资质的也没超过 100 个，还要国家密码管理局审核，干这事资金实力关系都要的

@gengchun 等🐆自身没具体要求用什么密码技术，但新政策已经要求已定级系统应该做同等级的蜜评的

[dongpengfei1]

https 这个东西基本国外浏览器都不支持，上国密的话影响用户使用，使用国外的证书的话具有一定危险性，参考俄罗斯。
后门这个东西谁家没有。

[jim9606]

@mutalisk
我这里说得不太严谨，应该是打不过 NIST 曲线。
SM2 跟已经广泛部署的 P256 没显著差别+生得晚，就是输了。
跟 TLS 密钥交换可以使用自定义群（因为有被攻击的可能，还没什么人用，在 1.3 被删除）不一样，X.509 的 ECC 公钥好像只能用具名曲线(用 OID 标识)，所以不更新软件就不能用。

[OrangeSinglee]

之前做政府的项目，要求我们必须要用，也就是验收的时候专家回看。如果不是应付验收，我们也不用

[nmap]

to B, to G 的场景慢慢在推，to C 还早着呢，这是国家意志，自主可控之一吧

[xuhui54]

这不是强制标准，toG 项目会经常接触要支持多套标准

[abersheeran]

我们项目如果需求加密，必然是国密……这种公开的肯定还是用先发的标准

[kingjpa]

东西是好东西，但是证书提供商坑人有一套，1999 的价格和 免费 ssl 你用谁？

[ixcode]

数学是无国界的，大家有个加法，你非要制定一个国产加法

[FrankHB]

@ixcode 显然破烂到处有，国产还是弟弟。
比如数学上的加法不会溢出，然后你每天不知道多少活是缩水版野鸡加法替你干了……

[docx]

有没有后门我不好说，但几千的价格属实是劝退了。然后兼容性还是个问题

[w950888]

我在做银行的业务, 国密在银行里大量使用, 没有使用国密的也在做国密化改造

[idrawer]

@liuidetmks 主要是没有收益，除了查询一些数据，大部分普通用户没太多去访问 gov 域名网站的需求吧，难道包子那个大脑袋还没看够？

[buffzty]

@aloxaf rsa 有 s-box,还有一些固定魔数,没人知道为什么他们选那个魔数,只是怀疑