密码技术应该怎么用第一天！

   看遍了规范，读了很多各种关于密码的文章，还没有发现，有人愿意讲清楚，密码应该怎么用，准备写一个系列的东西，如何构建自己的密钥管理系统或者密码服务平台，说明一下密码应该怎么用。

  密码是什么，密码在实现业务的定位应该是什么？

  密码（Cipher）是一种用于加密和解密信息的规则和方法。

  可以回想一下，我的在最初使用密码算法的时候，是怎么用的，在业务系统中直接调用，他并不是作为单独模块或者独立的设备存在的，是直接在编写业务代码的同时融合在业务系统中的。是我们使用的不对，还是应该不忘初心。

  信息安全系统的建设是在 OSI 网络参考模型的各个层面进行的，因此信息安全系统工程活动离不开以下相关工程。（1）硬件工程。(2）软件工程。（3）通信及网络工程。（4） 数据存储和灾备工程。（5）系统工程。（6）测试工程。(7）密码工程。（8）企业信息化工程。

可以看到密码是安全的一部分，是一种安全的底层能力，是业务系统的一部分，最好的是将业务系统和密码在代码层融合在一起。由业务系统根据需要调用密码能力，完成安全能力的构建。

  密码在网络空间中身份识别、安全隔离、信息加密、完整性保护和抗抵赖等方面具有不可替代的重要作用，可实现信息的机密性、真实性、数据的完整性和行为的不可否认性。相对于其他类型的安全手段，如人力保护、设备加固、物理隔离、防火墙、监控技术，生物技术等，密码技术是保障网络与信息安全最有效、最可靠、最经济的手段。

  密码是一种特别的能力，由此为根构建安全能力，是最有效、最可靠、最经济的手段。如果能在编写业务代码的同时融入密码能力，那么基本可以实现最底层的安全，为系统安全运行提供最可靠的安全保障。

      简单说明一下密码的四个特性。

• 保密性/机密性 ：

    概念：保证信息不被泄露给非授权实体的性质/信息不被未授权者知晓的属性

实现方式：1.访问控制 2.信息隐藏 3.加密，很明显加密是更好的方式。

• 完整性

    概念：数据没有遭受非授权方式所作的改变的性质/信息是正确的、真实的、未被篡改的、完整无缺的属性

     实现方式：1.访问控制 2.损坏检测

• 真实性 

    概念：一个实体是其所声称实体的这种特性。真实性适用于用户、进程、系统和信息之类的实体。

实现方式： 1.密码技术 2.静态口令3.动态口令 4.生物特征+密码技术

• 不可抵赖性/不可否认性

    概念：证明一个已经发生的操作行为无法否认的性质。

    实现方式：一般对数据HASH(SHA1,SH256,SM3)再签名

说明一下：SHA1已经不安全，但还有一些在使用。

   根据《商用密码应用与安全性评估》 5.1 章节：“需要说明的是，不同行业、不同应用场景下，密钥管理系统【包含对称密钥和非对称密钥】的构建方法各不相同，并没有一个通用的密钥管理标准进行约束。”密码厂商和一些云平台提供商，提供的密码管理能力，先不说能不能满足业务需求，如果你把钥匙给到别人手里你自己能安心吗？密码机，密码卡全部坏了怎么办，云平台密码能力全部无法使用该如何，如果密钥管理系统把你的在用密钥或者密码能力停了怎么办？从A厂商的设备迁移到B厂商怎么办。更换硬件设备（密码机，密码）怎么办？

     所以我认为，密码能力是必须业务系统自己构建，非不得已，不可托管，没有人比你自己更了解自己的业务！密码能力的构建比想象中简单的很多，只是大部分人不想去了解，更多人更想做一个鸵鸟或者找个甩锅对象而已。