吴赏群 46

• asked Jun 10

如果堡垒机原始的通道是http的，通过VPN网关做HTTPS反向代理的话，堡垒机的远程管理通道测的是http咯？

如果堡垒机原始的通道是http的，通过VPN网关做HTTPS反向代理的话，根据FAQ，堡垒机的远程管理通道测的是http咯？ 那这样，堡垒机远程管理通道怎么做才能合规

miping

0 votes

1 answers

5 views

吴赏群 46

• asked Jun 10

直接通过阿里云的云控制台去运维设备，那运维通道是直接测阿里云的云控制台吗

系统部署在阿里公有云上，直接通过阿里云的云控制台去运维设备，那运维通道是直接测阿里云的云控制台吗？与之对应的设备和计算安全层面的测评对象又该如何选取？

miping

0 votes

1 answers

4 views

吴赏群 46

• asked Jun 10

关于政务信息系统的密码服务合规性判定

关于政务信息系统的密码服务合规性判定，具有“电子政务电子认证服务机构”资质或者“电子政务服务许可证”+“电子认证服务使用密码许可证”，应该都可以判定密码服务合规吧？ 只要在电子政务电子认证服务机构目录内就可以是吧？并非使用密码许可名录和电子政务电子认证服务机构名录都要包含？

miping

0 votes

1 answers

1 views

吴赏群 46

• asked Jun 10

otp动态令牌用手机的本身的模块去实现怎么判定

现在有个项目，然后遇到了一个otp动态令牌，就是这个动态令牌系统呢。这个过检的时候呢，他拿手机去的，他说用的手机的那个密码模块过的二级。然后用的时候呢，他在本地服务器那块在服务器上插了个密码卡，然后用户还是用手机的本身的模块去实现的，并不是用动态令牌硬件，那个令牌可以手机扫二维码绑定，像这种情况下是怎么去判定的密码管理安全性，身份鉴别是否合规呢。

miping

0 votes

1 answers

3 views

吴赏群 46

• asked Jun 10

密钥存储在安全芯片里面，DAK怎么打分

咨询大家一个问题啊，目前遇到这种情况，就是存储完整性是通过MAC实现的，计算MAC的密钥存储在安全芯片里面，安全芯片的商用密码产品认证证书显示满足GM/T0008《安全芯片密码检测准则》第二级要求，对于四级系统来说DAK打分中的K有影响吗？

miping

0 votes

1 answers

2 views

吴赏群 46

• asked Jun 10

CBC模式中IV值，由调用随机数函数生成，怎么判定

对于SM4算法的CBC模式中IV值，由调用随机数函数生成，这种的可以给符合吗？

miping

0 votes

1 answers

2 views

吴赏群 46

• asked Jun 10

证书颁发机构是国外的情况，风险怎么判定？

比如国密局网站，证书颁发机构是国外的，密评要判断高风险吗？

miping

0 votes

1 answers

3 views

吴赏群 46

• asked Jun 10

密评中的相关报告章节的重要数据如何与其它法律法规中明确的重要数据进行区分与辨识

数据安全法里边的“重要数据”和密评里边的“重要数据”两者的释意区别， 疑问：在数安法里边重要数据是由行业部门决定的，但发现目前还没有哪个行业发布有重要数据目录，比如个人信息数据，数据量为2000条，其影响对象是个人和组织，在数据安全法和GBT 43697-2024《数据安全技术 数据分类分级规则》中，这个系统的个人信息数据是归类到一般数据的，不会归类到重要数据；但在密码中，这个人信息数据是写在“重要数据”，所以会出现了歧义。 想咨询一下各位大佬，碰到这种情况，是如何和业主方解...

miping

0 votes

1 answers

1 views

吴赏群 46

• asked Jun 10

用户口令+短信验证码能否缓解设备层身份鉴别风险

设备和计算层面身份鉴别未使用密码技术实现，用的是用户口令+短信验证码的形式，这种情况是否符合高风险判定指引里说的基于特定识别技术保证用户身份的真实性，因为国内手机号码都是实名申请的

miping

0 votes

1 answers

5 views

吴赏群 46

• asked Jun 10

没有商密证书的电子签章系统进行不可否认性保护，怎么判定？

调用电子签章系统（自行开发，没有商密证书）进行不可否认性保护，怎么判定？

miping

0 votes

1 answers

3 views