在介绍密码系统的安全性定义之前，回顾历史上的各个加密方法以及对其进行破解的一些故事，就可以发现密码学中“攻”与“防”的一些特点。

第一次世界大战期间雅德利破解苏联间谍密信时，通过一些特征就判断出密信使用了移位密码，但在此之后仍通过了大量努力才破解了该密码。我国兵书《武经总要》中所提到的“字验"加密方式，虽然人人通过阅读兵书都知道这种加密方法的具体方式，但不知道将帅之间使用的是哪首诗的时候也仍然无法破解该密码。第二次世界大战期间对德国“隐谜”密码打字机的破解，即便从战场上截获了打字机本身，或是通过间谍资料推断出了打字机的具体结构，但在不知道其每天密钥的情况下，极难破解当天的密电。这些故事都反映出两个特点：① 密码系统的基本原理是无法做到完全保密的；② 密码系统即便原理被窃听者所熟知，但只要密钥未知，它就难以被破解。

这两个特点就是密码学研究中所遵循的“科考夫原则"(Kerckhoffs's Principle)，是由19世纪荷兰语言和密码学家科考夫(Auguste Kerckhoffs，1835-1903）首先总结提出的（其有两种常见表述方式）。

科考夫原则受到密码学家的推崇。一方面是因为它非常符合事实，世上没有不透风的墙，窃听者总可以通过各种手段得到一个密码系统的设计原理。而如果一个密码系统的安全性依赖于系统设计的保密性，那么当具体设计原理被窃听者所知之后，对密码系统就需要做完全的更换，其时间成本和资源消耗都是巨大的；但如果一个密码系统的安全性仅依赖于密钥，那么当密钥被窃听者得知之后，只需及时更改密钥即可。当然，密钥的安全变更也不是一件容易的事情，但比起设计一个全新的密码系统要简单很多。另一方面，如果一个密码系统的设计原理是公开的且其安全性只和密钥有关，那么就意味着设计者难以在密码系统中留下“后门”，购买该系统的用户就可以放心地使用。这符合用户的需求，故可称为可信的密码系统。

科考夫原则

表述一：一个密码系统的设计不应当是保密的，其原理与细节应当是公开的。

表述二：一个密码系统哪怕它的一切有关信息均是公开的，但只要其密钥是隐秘的．它就应当是安全的。

根据科考夫原则设计出来的密码系统，其安全性只依赖于密钥是否保密，而不依赖于系统设计原理的保密性。因此，窃听者的核心任务就是如何破解密钥。比如利用词频统计分析来破解单表替换加密法，就是要得出字母替换表这一密钥：再比如破解“隐谜''密码打字机，不论是波兰还是英国，其主要任务是破解当天使用的包括转轮位置和插孔板连线方式在内的初始设定，即当天的密钥。

在科考夫原则的基础上，关于密码系统的安全性有以下三个常用的准则：

计算安全性(Computational Security)

如果使用最好的破算法来破解该密码系统至少要N次运算，则该密码统是计算安全的。当N远大于某窃听者所能调用的全部计算能力时，则可称该密码系统对该窃听者是具有计安全性的

可证明安全性(Provable Security)

如果破解某密码系统等价于求解某一经过深入研究的困难（数学）问题时，就认为该密码系统的安全性与该（数学）问题是高度相关的

无条件安全性(UnconditionalSecuritY)

即便给予窃听者以无限的计算资源，其利用某破算法也不能破解某密码系统，则称该密码系统对该破译算法是无条件安全的。如果一个密码系统对任何破译算法都是无条件安全的，则称其具有无条件安全性。

计算安全性是从破解一个密码系统在计算上所需做出的努力来衡量的，需要消耗的计算资源越高，就意味着破解的用时越长，系统的“安全性"就越高。从计算安全性的定义可以发现其存在如下问题：对当下使用的现代密码系統来讲，基本无法给出其“最好的破译算法”，通常都是在当前已公开的破译算法中寻找最优的一个，未公开的或者未来可能出现的更为“天才”的算法是无法考虑在内的。因此，计算安全性只有相对意义，并没有绝对意义。另一个计算安全性的问题是：随着计算技术的发展，现在安全的系统以后可能就不再安全了。比较典型的例子是DES加密系统，由于其密钥长度仅有56bit，到1999年的时候仅需要22h就可以攻破。

可证明安全性是将密码系统的安全性等价为另一个问题，即从归纳的角度来说明一个密码系统的安全性。但是另一个问题是否具有足够的安全性还需要再考察，比如"RSA方法”就被证明与"ECC方法”是等价的，两者要么同时安全，要么同时被攻破。可证明安全性比较理想的应用是，证明破解一个密码系统将会等价于求解某类NP完全问题。

无条件安全性是非常强的一种安全性定义，其直接赋予窃听者以无限的计算资源，且根据科考夫原则窃听者对所使用密码系统的设计原理也是了若指掌的，因此是凌驾于计算安全性之上的。

上面定义的密码系统安全性除了和破译算法相关，实际上还和窃听者可掌握的明文、密文资源有关，因为其会影响到破译算法的选择。实际情况下根据窃听者所能掌握的资源，可将针对密码系统的攻击分为：

唯密文攻击（Ciphertext Only Attack)：窃听者只能得到密文。这对窃听者是最不利的一类情况。比如战争中窃听到的无线密电。

已知明文攻击(Known Plaintext Attack)：窃听者除得到的密文外，还可以得到一些明文一密文对。比如第二次世界大战中德军的密电格式比较“死板”，长密电分为两段时，第二份密电的开头总会发送上一份密电发送时的“时间信息”。

选择明文攻击(Chosen Plaintext Attack)：窃听者除得到的密文外，还可以指定一些明文，并会得到相应的密文。比如利用图灵的Crib方法破解“隐谜”密码打字机时，所常采用的“种花”方法。

选择密文攻击(Chosen Ciphertext Attack)：窃听者除得到的密文外，还可以指定一些密文，并会得到相应的明文。

同样的密码系统在以上各种不同攻击条件下也会选择不同的算法。但不论在哪种攻击方式下都存在一种破译算法：暴力破解算法，或者称为穷尽密钥搜索算法。其通过遍历全部可能的密钥来判断当前所使用的密钥是什么。面对穷尽密钥搜索算法，最简单的抵御方式就是增加密钥长度，使得待搜索密钥的个数增加，这样，暴力破解所需要的时间就会呈指数型增长。与之等价，对于同样长的密钥，密文越短，密码系统的安全性就越高。

在此思想基础上：可以给出在密文足够短的情况下，在唯密文攻击条件下具有无条件安全性的密码系统的数学定义。首先需要说明的是，密文足够短（或等价的，密钥足够长）不仅是指某一次加密时所产生的密文足够短，而是应用同一个密钥所得到的全部密文累积在一起要足够短，不论是分多少次进行的加密均要计入。其次需要强调的是，一般而言，窃听者攻击密码系统的目的是获取密钥信息，或者获取明文信息。我们知道，在窃听者没有获得任何关于密码系统的信息时，通信双方可能使用的密钥以及可能发送的明文对它而言都是等概率分布的。因此，如果窃听者获取了一定量的关于密码系统的信息，但基于这些信息，其仍然判断密钥和明文的后验概率仍是等概率的，则在这些信息下系统将是安全的。

唯密文攻击是密码攻击中最为常见的一种攻击，因为传输在网络（不安全信道）中的所有数据都是可以被复制的。在唯密文攻击下具有安全性也是一个安全密码系统最基本的要求，在这种攻击下，窃听者掌握的关于密码系统的信息就只有密文本身。如果窃听者在已知密文y的情况下，判断密钥K和明文x的后验概率仍是等概率的，则该密码系统对于唯密文攻击就是安全的，可以称其具有完善保密性(Perfect Secrecy)。其更为严格的定义如下：

定义1 完善保密性 如果一个密码系统满足：对于任意的明文x ϵ P和密文y ϵ C，均有Pr⁡[x|y]=Pr⁡[x]，即给定密文y，明文x的先验概率和后验概率是相等的，则该密码系统具有完善保密性。

对于上述定义中的概率相等判定条件，应用贝叶斯(Bayes)定理不难得出其等价于：对于任意的明文x ϵ P和密文y ϵ C，均有有Pr⁡[x│y]=Pr⁡[x]。此条件意味着对于某一固定的明文x，任一密文y，明都至少存在一个密钥K，使得x可被加密成为y。又考虑到加密函数是一个单射函数，则密钥的个数应当不少于密文的个数，即|K|≫|C|由于解密函数同样是单射函数，因此密文的个数应当不少于明文的个数，即|C≫|P|。综合有|K|≫|C|≫|P|，即密钥的个数应当不少于明文的个数。从二进制数据来看，就意味着加密的密钥长度至少应当等于明文的长度。换言之，每当使用与明文等长的密钥进行加密后，该密钥就应当被舍弃，下一次加密需要使用新的密钥。这种特性被形象地称为“一次一密”。

香农曾指出，在任何攻击条件下都具有无条件安全性的密码系统唯有“一次一密"密码系统。定义2给出了一种最为通用的“一次一密"密码系统的定义。

定义2 “一次一密”密码系统 设明文长度n≫1，明文空间、密文空间和密钥空间满足P=C=K=（Z_2 ）^n。设明文x=（x_(1,) x_(2,)…，x_n ）,密钥y=eK（x）=（x_1⊕K_(1,) x_2⊕K_(2,)…，x_n⊕K_n ），解密操作dK（y）定义为x=dK（y）=（y_1⊕K_(1,) y_2⊕K_(2,)…，y_n⊕K_n ），其中⊕是异或操作，密钥K的选取是完全随机的，且始终保证和明文一样长。

在“一次一密”密码系统中，要求使用的对称密钥长度始终和明文一样长，且是完全随机的，那么即便知道了部分密钥，也无法用、破解其他部分的密文。其无条件安全性很好理解：因为使用同一密钥得到的密文只出现一次，在不知道明文的情况下任何算法也无法破解出密钥；且山于该密钥只使用一次，因此即便得到了密钥对其他未破译的密文来讲也是无用的。“一次一密"密码系统虽然安全性很高，但是其在现实中并不实用。主要是其对密钥的消耗太大，通信双方必须在进行保密通信前通过安全的手段共享一个与明文等长的密钥，这本身就和保密的传输同样长的明文一样困难。

因此，在现代密码学中，所使用的密码系统都是利用较短的密钥，通过复杂的算法加密较长的明文，换言之如果通过部分明、密文获得了密钥，那么对其他密文将会造成致命的威胁。而由于不论在什么情况下都存在穷尽密钥搜索算法，因此现代密码系统不论是对称还是非对称密码系统，都只有计算安全性，只能保证密钥在一定时间内的安全性。且随着新破译算法的不断提出，对其破解用时也会越来越短，或许某天某个“天才”设计的破译算法就能极大地缩短破解用时。比如1994年提出的基于量子计算的"Shor算法”就是针对"RSA方法”的有效破译算法。

针对这一情况，研究者们提出了新一代的密码系统一量子密码系统（易科腾小编注：即基于量子密钥分发的密码系统），使用物理的手段来保证信息的安全。

【注】：本文编选自“十二五”国家重点出版规划项目，现代激光技术及应用丛书《量子密码》（郭弘、李政宇、彭翔 编著，国防工业出版社）1.3章节

文章来源于国家密码管理局官网【信息公开 / 政策法规 / 政策解读】专栏，持续更新中

密码政策解读

1.问:《密码法》施行后,商用密码产品的管理方式有什么变化?

答:根据《密码法》第二十五条、第二十六条的规定,商用密码产品管理方式将由行政审批调整为检测认证管理,国家密码管理局不再实施“商用密码产品品种和型号审批”。市场监管总局会同国家密码管理局建立国家统一推行的商用密码认证制度,采取支持措施,鼓励商用密码产品获得认证。对列入网络关键设备和网络安全专用产品目录的商用密码产品实施强制性检测认证,由具备资质的机构检测认证合格后,方可销售或者提供。

2.问:《密码法》施行后,已发放的《商用密码产品型号证书》是否仍然有效?

答:《密码法》施行后,市场监管总局将会同国家密码管理局建立国家统一推行的商用密码认证制度,国家密码管理局将不再受理商用密码产品品种和型号申请,停止发放《商用密码产品型号证书》,已发放的《商用密码产品型号证书》自2020年7月1日起自动失效。本着便民利企原则,对于在有效期内的《商用密码产品型号证书》,持证单位可于2020年6月30日前自愿申请转换国推商用密码产品认证证书,换发的认证证书有效期与原《商用密码产品型号证书》有效期保持一致。同时,为方便证书转换,持证单位可向所在地省(区、市)密码管理部门提交转换认证申请。

3.问:《密码法》施行后,尚未完成商用密码产品品种和型号审批的产品应该如何处理?

答:本着便民利企原则,对于尚未完成商用密码产品品种和型号审批的,原产品品种和型号申请单位可于2020年6月30日前,自愿转为认证申请;审批期间已经开展的审查及检测,认证机构不再重复审查、检测,切实减轻申请单位负担,简化办事流程。

4.问:《密码法》施行后,如何向具备资质的商用密码认证机构提交认证申请?

答:市场监管总局、国家密码管理局正在抓紧制定国推商用密码认证的产品目录、认证规则和有关实施要求。待相关内容发布后,自认证规则实施之日起,商用密码从业单位便可自愿向具备资质的商用密码认证机构提交认证申请。有关认证的适用范围、申请受理、基本流程、证书管理等内容将在认证规则中予以明确。

5.问:《密码法》施行后,商用密码进出口有哪些管理要求?

答:根据《密码法》第二十八条的规定,《密码法》施行后,商用密码进出口将纳入两用物项进出口管理,由商务部、国家密码管理局依法实施进口许可和出口管制。商务部、国家密码管理局、海关总署正在抓紧制定商用密码进口许可清单和出口管制清单。清单公布实施前,商用密码进出口暂时按照目前公布的许可条件和程序实施进出口许可管理,保持现行工作方式不变。详见国家密码管理局、商务部、海关总署第38号公告。

6.问:《密码法》中“密码”的概念是什么?

答:《密码法》中的密码(cryptography),是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。而人们日常接触的计算机或手机开机“密码”、微信“密码”、QQ“密码”、电子邮箱登录“密码”、银行卡支付“密码”等,实际上是口令(password)。口令是进入个人计算机、手机、电子邮箱或银行账户的“通行证”,是一种简单、初级的身份认证手段,“口令”不在《密码法》的管理范围之内。

7.问:《密码法》有什么样的法律地位?

答:密码是国家重要战略资源,是保障网络与信息安全的核心技术和基础支撑。密码工作是党和国家的一项特殊重要工作,直接关系国家政治安全、经济安全、国防安全和信息安全,在我国革命、建设、改革各个历史时期,都发挥了不可替代的重要作用。进入新时代,以习近平同志为核心的党中央坚持总体国家安全观,在完善国家安全体系的总体布局中对加强密码工作和密码立法作出了重要部署。

《密码法》是我国国家安全法律制度体系的重要组成部分,是密码领域的综合性、基础性法律,也是一部技术性、专业性较强的专门法律。《密码法》以法律的形式明确了党管密码的根本原则,确立了密码工作领导和管理体制,明确了密码分类管理原则以及核心密码、普通密码、商用密码管理的各项制度措施,为保障网络与信息安全,维护国家安全、社会公共利益,以及公民、法人和其他组织的合法权益提供了坚实有力的法律保障,为构建系统完备、科学规范、运行高效的密码法律制度体系奠定了基础。

8.问:《密码法》的立法目的是什么?

答:一、规范密码应用和管理,促进密码事业发展

目前,有关部门、单位和社会公众对密码的作用认识不够全面,使用密码保护网络与信息安全的意识还不够强,特别是重要网络与信息系统密码应用规范性、有效性不够的问题还比较突出,严重威胁国家网络与信息安全、企业商业秘密以及公民个人隐私保护。国家对涉密信息系统和关键信息基础设施商用密码的应用、基础支撑能力的提升以及安全性评估、审查制度等不断提出明确要求,需要上升为法律规范,为维护国家网络与信息安全提供法治保障。在核心密码、普通密码方面,需要将现行有效的安全管理制度、特殊管理政策及保障措施法治化,增强核心密码、普通密码安全保障能力。在商用密码方面,传统上对商用密码实行全环节许可管理,已经不适应政府职能转变和“放管服”改革要求,亟需通过立法对现行的商用密码管理制度作出调整,切实为企业松绑减负,促进密码科技进步和创新,促进密码产业健康有序发展。

二、保障网络与信息安全,维护国家安全和社会公共利益,保护公民、法人和其他组织的合法权益

在网络与信息时代,每天都会产生大量涉密和敏感信息,网络窃密、网络诈骗、侵犯隐私等事件层出不穷,亟需有效的安全防护措施。密码是保障网络与信息安全的核心技术和基础支撑。制定《密码法》,就是要更好地促进密码产业发展,营造良好的市场秩序,为社会提供更多优质高效的密码,引导全社会正确、合规、有效使用密码,充分发挥密码在网络空间中信息加密、安全认证等方面的重要作用,维护国家安全和社会公共利益,保护公民、法人和其他组织的合法权益。

9.问:《密码法》经历了怎样的立法过程?

答:党和国家高度重视密码立法工作,2018年至2019年,全国人大常委会和国务院都将《密码法》列入了立法工作规划。

2014年12月,国家密码管理局正式启动《密码法》的立法工作。

2017年4月至5月,《中华人民共和国密码法(草案征求意见稿)》在国家密码管理局商用密码管理办公室网站首次面向社会公开征求意见。

2017年6月,《中华人民共和国密码法(草案送审稿)》正式报送国务院。

2019年6月10日,《中华人民共和国密码法(草案)》(以下简称草案)经国务院第52次常务会议会讨论通过。6月15日,李克强总理签署议案,正式将草案提请全国人大常委会审议。

2019年6月25日至29日,十三届全国人大常委会第十一次会议对草案进行了首次审议。

2019年7月5日至9月2日,草案在中国人大网面向社会公开征求意见。

2019年10月21日至26日,十三届全国人大常委会第十四次会议对草案进行了二次审议。

10月26日,十三届全国人大常委会第十四次会议表决通过《密码法》,习近平主席签署第三十五号主席令正式颁布,自2020年1月1日起施行。

10.问:密码有哪些主要功能?

答:密码的主要功能有两个,一个是加密保护,另一个是安全认证。

加密保护是指采用特定变换的方法,将原来可读的信息变成不能直接识别的符号序列。简单地说,加密保护就是将明文变成密文。例如,古希腊军队使用一种叫做“斯巴达棒”的圆木棍来进行加密通信,使用方法是:把一根长带状羊皮纸缠绕在圆木棍上,然后在上面写字;解下羊皮纸后,上面只有乱序的字符,只有再次以同样的方式缠绕到同样粗细的木棍上,才能看出所写的内容。

安全认证是指采用特定变换的方法,确认信息是否完整、是否被篡改、是否可靠以及行为是否真实。简单地说,安全认证就是确认主体和信息的真实可靠性。例如,增值税防伪税控系统采用商用密码技术保护涉税信息,增值税发票信息经密码算法进行加解密处理,确定该发票的明文信息是否真实,从而遏制增值税犯罪,减少税款流失。

11.问:《密码法》的管理对象有哪些?

答:作为本法的管理对象,密码包括密码技术、密码产品和密码服务。

密码技术,是指采用特定变换的方法对信息等进行加密保护、安全认证的技术,包括密码编码、实现、协议、安全防护、分析破译,以及密钥产生、分发、传送、使用、销毁等技术。分组密码算法(如SM4算法)、公钥密码算法(如SM2算法)等是典型的密码算法,密钥交换协议、密钥分发协议等是典型的密码协议。

密码产品,是指采用密码技术并以加密保护、安全认证的产品,即承载密码技术、实现密码功能的实体。典型的密码产品包括:密码机,如链路密码机、网络密码机、服务器密码机、传真密码机、电话密码机等;密码芯片和模块,如第二代居民身份证、智能电卡、社会保障卡、金融芯片卡中使用的密码芯片、可信计算密码模块等。

密码服务,是指基于密码专业技术、技能和设施,为他人提供集成、运营、监理等密码支持和保障的活动,即基于密码技术和产品,实现密码功能,提供密码保障的行为。典型的密码服务包括:密码保障系统集成(如数字证书认证系统集成),是指为他人集成建设实现密码功能的系统,保护他人网络与信息系统的安全;密码保障系统运营(如增值税发票防伪税控系统运营),是指为保证他人实现密码功能系统的正常运行提供安全管理和维护。

12.问:密码工作的基本原则是什么?

答:总体国家安全观要求推动建立新的安全体制,在密码工作中具体体现为统一领导、分级负责,创新发展、服务大局,依法管理、保障安全的基本原则,这是密码工作历史经验和实践的深刻总结。

13.问:密码工作的基本原则中“统一领导、分级负责”是指什么?

答:“统一领导、分级负责”是密码工作的首要原则。统一领导,是指全国密码工作在党中央领导下,由中央密码工作领导机构统一领导。《密码法》把“统一领导”作为密码工作的一项基本原则,就是要坚持党的绝对领导,这是密码工作最重要、最根本、最核心的原则,也是密码工作的优良传统和宝贵经验。

分级负责,是指国家和省、市、县四级密码管理部门分别负责管理全国和本行政区域的密码工作。根据密码工作的现实需要,参考其他工作领域管理体制改革发展的经验,《密码法》明确了各级密码管理部门的行政主体地位,确立了分级负责的密码工作管理体制。

14.问:密码工作的基本原则中“创新发展、服务大局”是指什么?

答:创新发展是密码工作的发展之基、力量之源。党的密码工作从诞生的第一天起,正是凭借不断地自主创新,走出了一条从无到有、从小到大、从弱到强的中国特色密码发展之路。坚持创新发展,就是要以科技创新为核心,以管理创新为推动,以制度创新为保证,支持密码科学技术研究,推动密码产业发展,使密码工作始终体现时代性、把握规律性、富于创造性,为保障网络与信息安全、维护国家网络空间主权提供有力的技术支撑。

服务大局是密码工作的价值所在,更是其宗旨要求。密码工作与党和国家的事业血肉相连、命运休戚相关,在革命、建设和改革各个历史时期,都紧紧围绕党和国家的中心任务和奋斗目标,发挥着不可替代的特殊重要作用。进入新时代,坚持服务大局,就是要紧紧围绕国家创新驱动发展战略,部署好密码科技自主创新,实现密码科技跨越式发展;要紧紧围绕国家安全战略,加大密码核心关键技术攻关和密码应用,充分发挥密码在保安全促发展中的支撑作用;要紧紧围绕中央全面深化改革的战略部署,全面深化密码管理体制改革,加快政府职能转变;要紧紧围绕经济结构调整,加快推进密码产业发展,为经济社会持续健康发展,为实现“两个一百年”奋斗目标、实现中华民族伟大复兴的中国梦做出贡献。

15.问:密码工作的基本原则中“依法管理、保障安全”是指什么?

答:党的十九大把坚持全面依法治国确立为习近平新时代中国特色社会主义思想和新时代坚持和发展中国特色社会主义的基本方略的重要内容,提出“必须坚持厉行法治,推进科学立法、严格执法、公正司法、全民守法”。将密码管理的各个方面纳入法治轨道,是密码工作的基本要求,是提高密码工作科学化、规范化、制度化水平的必由之路。坚持依法管理,就是各级密码管理部门要严格按照《密码法》和有关法规、规章和规范性文件的规定,依法全面履行密码行政管理职能。依法管理是核心密码、普通密码、商用密码三类密码管理的共同要求。

密码安全关乎党和国家的根本利益,是密码工作的生命。坚持保障安全,就是要加强密码安全制度建设,完善密码安全管理措施,对密码管理重点关键环节实施有效监管,增强密码安全保障能力;要加强关键信息基础设施密码应用监管,建立完善密码安全性评估和安全审查制度,有效预防和化解密码安全风险;要加强密码安全协作机制建设,确保密码安全管理的协同联动和有序高效。

16.问:密码工作坚持党的绝对领导体现在哪些方面?

答:坚持党对密码工作的绝对领导,是在任何时候、任何情况下都必须毫不动摇坚持的根本原则。《密码法》规定,坚持中国共产党对密码工作的领导,旗帜鲜明地把党管密码这一根本原则写入法律。党的密码工作创建于1930年,一直由党中央直接领导和管理,党管密码原则是密码工作长期实践和历史经验的深刻总结,是密码工作最重要、最根本、最核心的要求。

坚持党的绝对领导,主要体现在:一是密码工作的重大事项向中央报告,密码工作的重大决策由中央决定。二是坚决贯彻执行中央关于密码工作的方针政策,落实中央确定的密码工作领导和管理体制。三是充分发挥党的领导核心作用,各级党委(党组)和密码工作领导机构要认真履行党管密码的政治责任。

17.问:我国的密码工作领导体制是什么?

答:《密码法》明确规定,中央密码工作领导机构,即中央密码工作领导小组,对全国密码工作实行统一领导,把中央确定的密码工作领导体制,通过法律形式固化下来,为密码工作沿着正确方向发展提供根本保证。中央密码工作领导小组统一领导全国密码工作,负责制定国家密码工作重大方针政策,统筹协调国家密码重大事项和重要工作,推进国家密码法治建设。

18.问:我国的密码工作管理体制是什么?

答:根据密码工作依法管理的需要,参考其他工作领域管理体制改革发展的经验,《密码法》明确了密码工作管理体制,包括两个方面的内容:一是国家、省、市、县四级密码工作管理体制,二是国家机关和涉及密码工作的单位的密码工作职责。

19.问:四级密码工作管理体制的含义?

答:《密码法》赋予了国家、省、市、县四级密码管理部门行政管理职责。

国家密码管理部门是指国家密码管理局。为更好地履行对全国的密码管理职能,2005年1月,中央机构编制委员会批准成立国家密码管理局。2008年3月,国家密码管理局列入国务院部委管理的国家局序列。2018年3月,《国务院关于部委管理的国家局设置的通知》(国发〔2018〕7号)明确规定,国家密码管理局与中央密码工作领导小组办公室,一个机构两块牌子,列入中共中央直属机关的下属机构序列。

国家密码管理局的主要职责是:组织贯彻落实党和国家关于密码工作的方针政策和法律法规,研究提出解决密码工作发展中重大问题的建议;拟订密码工作发展规划,起草密码工作法规并负责密码法规的解释,组织拟订密码相关标准;依法履行密码行政管理职能,管理密码科研、生产、装备(销售)、检测认证及使用,查处密码泄密事件和违法违规研制、使用密码行为,负责有关密码的涉外事宜;对密码工作机构实施业务领导;负责网络与信息系统中密码保障体系的规划和管理,规划、建设和管理国家密码基础设施;指导密码专业教育和密码学术交流,组织密码专业人才教育培训,对高等院校、科研机构、学术团体开展密码基础理论与应用技术研究、交流进行指导;承办中央密码工作领导小组的日常工作。

县级以上地方各级密码管理部门是指省(自治区、直辖市)、市(地、州、盟)、县(市、区、旗)密码管理局。为规范和加强密码管理部门的行政管理职能,《密码法》明确了国家、省、市、县四级分级负责的密码工作管理体制,赋予了国家、省、市、县四级密码管理部门行政管理职责,从体制机制上为密码管理部门依法履行密码管理职能提供了坚实的法治保障。

各级密码管理部门要认真贯彻落实《密码法》的明确要求,依法确立行政主体地位,全面履行《密码法》赋予的行政管理职能,加快建立权力清单、责任清单和负面清单,完善监督执法机制,规范执法方式,推动管理职能转变和管理方式创新,自觉做到“职权法定”、“权依法使”。

20.问:国家机关和涉及密码工作的单位的密码工作职责是什么?

答:国家机关和涉及密码工作的单位根据工作需要,承担相应的密码工作职责,是密码工作管理体制的重要组成部分。国家机关是指中央、省、市、县各级国家机关。涉及密码工作的单位是指除国家机关以外,承担密码管理职责的企事业单位等。这些机关、单位在其职责范围内负责本机关、本单位或本系统的密码工作。

21.问:密码是如何分类的?

答:《密码法》将密码分为核心密码、普通密码和商用密码,实行分类管理。核心密码用于保护国家绝密级、机密级、秘密级信息,普通密码用于保护国家机密级、秘密级信息,商用密码用于保护不属于国家秘密的信息。

22.问:为什么要对密码实行分类管理?

答:将密码分为核心密码、普通密码和商用密码,实行分类管理,是党中央确定的密码管理根本原则,是保障密码安全的基本策略,也是长期以来密码工作经验的科学总结。三类密码保护的对象不同,对其进行明确划分,有利于确保密码安全保密,有利于密码管理部门根据不同信息等级和使用对象,对密码实行科学管理,充分发挥三类密码在保护网络与信息安全中的核心支撑作用。对密码施行分类管理,也是国际通行做法。

23.问:什么是核心密码、普通密码?

答:核心密码、普通密码用于保护国家秘密信息,有力保障了中央政令军令安全,为维护国家网络空间主权、安全和发展利益构筑起密码屏障。按照《保守国家秘密法》的规定,国家秘密是指关系国家安全和利益,依照法定程序确定,在一定时间内只限一定范围的人员知悉的事项。《密码法》根据保护对象的不同,对核心密码、普通密码进行划分。核心密码用于保护国家绝密级、机密级、秘密级信息,普通密码用于保护国家机密级、秘密级信息。

24.问:为什么要对核心密码、普通密码实行严格统一管理?

答:密码管理部门按照中央要求,对核心密码、普通密码实行严格统一管理,针对核心密码、普通密码的科研、生产、服务、检测、装备、使用和销毁等各个环节制定了一系列严格的安全管理制度和保密措施,对核心密码、普通密码实行全生命周期的严格统一管理,明确了一系列保障措施。这是因为:第一,核心密码、普通密码用于保护国家秘密信息,直接关系国家安全和利益。第二,核心密码、普通密码本身也属于国家秘密,一旦泄密,将危害国家安全和利益。党政机关应当严格按照法律法规的有关规定使用核心密码、普通密码保护国家秘密信息,在法律范围内从事相关活动。第三,核心密码、普通密码的管理措施以及密码管理部门、密码工作机构及其工作人员开展核心密码、普通密码工作的保障措施等,需要通过国家立法提供法律依据,进一步提升密码工作的法治化保障水平。

25.问:什么是商用密码?

答:商用密码用于保护不属于国家秘密的信息。也就是说,商用密码可以用于保护除国家秘密之外的所有信息,既可以保护企业商业秘密、公民个人隐私,也可以保护政务领域中不属于国家秘密的工作信息。关于商用密码的名称,1996年,中央决定在我国大力发展商用密码,加强对商用密码的管理。1999年,国务院颁布施行《商用密码管理条例》(国务院令第273号),商用密码的名称开始为社会所熟知和广泛使用。此后,中央文件和党内法规以及国家密码管理局制定发布的规范性文件均采用了“商用密码”这一名称。

26. 问:《密码法》在商用密码使用方面提出了什么样的管理要求?

答:《密码法》规定公民、法人和其他组织可以依法使用商用密码保护网络与信息安全,对一般用户使用商用密码没有提出强制性要求。同时,为了保障关键信息基础设施安全稳定运行,维护国家安全和社会公共利益,《密码法》第二十七条规定了关键信息基础设施的商用密码使用要求。

公民、法人和其他组织可以依法使用商用密码,既是《密码法》赋予公民、法人和其他组织自主选择使用商用密码的权利,也是鼓励公民、法人和其他组织依法使用商用密码保护网络与信息安全。

27.问:《密码法》为什么要鼓励和支持密码科学技术进步和创新?

答:党的十九大报告指出,创新是引领发展的第一动力,是建设现代化经济体系的战略支撑。密码科学技术进步和创新是密码事业发展的灵魂,也是密码实现持续健康快速发展的动力源泉。紧紧牵住核心技术自主创新这个“牛鼻子”,牢牢掌握密码关键核心技术,是密码事业高质量发展的必由之路。坚持走中国特色密码自主创新道路,着眼密码科技前沿、立足网络空间安全、面向国家战略需求,加快创新驱动发展,是推进密码科技创新的基本要求。

28.问:《密码法》在密码知识产权保护方面作了哪些具体规定?

答:依法保护知识产权,对于激励科技创新,提高创新能力,促进创新成果合理分享,推动科技进步和经济社会发展,具有重要意义。

在密码工作实践中,无论是密码技术研究,还是密码检测认证、密码应用安全性评估、安全审查,都涉及密码知识产权保护。《密码法》在多个条款中对依法保护密码领域的知识产权作了具体规定。在商用密码检测认证方面,《密码法》对检测、认证机构在检测认证中所知悉的国家秘密、商业秘密和技术秘密的保密义务作了明确规定,并且规定了相应的法律责任。《密码法》还对密码管理部门和有关部门及其工作人员对在履行职责中知悉的商业秘密和个人隐私的保密义务作了明确规定,并且规定了相应的法律责任。

密码知识产权保护对国内外产品、服务以及内外资企业一视同仁、同等适用,对外商投资企业的知识产权实行同等保护。

29.问:为什么要加强密码人才培养和队伍建设?

答:人才是核心竞争力,密码事业的发展,归根结底要靠密码人才。密码人才队伍是一支特殊的队伍,承担着密码科研、密码管理、密码服务保障等重要任务,肩负着保障国家网络与信息安全的重要职责。随着网络与信息化的飞速发展和密码的广泛应用,密码人才需求呈现快速增长态势,密码专业人才培养和学科建设取得重要进展。目前,国内已有超过100所高校开设了密码学专业或者密码学相关课程,培育了大量的密码专业人才,涌现出一批具有国际知名度的优秀领军人才。将加强密码人才培养和队伍建设写进《密码法》也是贯彻落实相关中央文件和党内法规的明确要求,与《网络安全法》关于加强网络安全人才培养的规定也是衔接一致的。

30.问:《密码法》规定了什么样的密码工作表彰奖励制度?

答:为充分调动广大密码工作人员做好密码工作的积极性和创造性,推动密码工作创新发展,贯彻落实党和国家功勋荣誉表彰奖励制度要求,党和国家设立了全国密码工作先进集体和先进工作者、密码科学技术进步奖励等密码工作表彰奖励制度。《密码法》第九条规定:“对在密码工作中作出突出贡献的组织和个人,按照国家有关规定给予表彰和奖励。”将这一系列表彰奖励制度保留、固化下来。

31.问:密码工作表彰奖励的对象有哪些?

答:密码工作表彰奖励的对象主要是在服务党和国家工作大局中发挥重要作用以及在密码科技进步中作出重要贡献的密码管理部门、密码工作机构、商用密码从业单位和密码工作人员等。表彰奖励工作贯彻“尊重劳动、尊重知识、尊重人才、尊重创造”的方针,注重面向一线,注重工作实绩,遵循鼓励创新、促进发展、公平公正、严格把关的原则,坚持精神奖励与物质奖励相结合、以精神奖励为主,体现先进性、代表性和时代性。

32.问:为什么要加强密码安全教育?

答:密码安全事关国家安全,密码安全意识是国家安全意识的重要内容。密码安全教育是密码工作的重要组成部分,对密码工作高质量发展起着重要的导向和促进作用。做好密码安全教育工作,对于正确贯彻中央关于密码工作的方针政策,提高全民密码安全意识,引导全社会合规、正确、有效使用密码,确保密码使用优质高效、确保密码管理安全可靠,具有重要意义。

33.问:如何加强密码安全教育?

答:密码安全教育要与学习贯彻总体国家安全观紧密结合起来,以学习宣传贯彻《密码法》为重要抓手,面向不同人群,开展不同形式的密码安全教育,增强安全教育的针对性和实效性。

一是充分利用“全民国家安全教育日”“国家网络安全宣传周”等平台,深入开展《密码法》普及宣传活动,推动密码安全教育进社会、进课堂、进教材、进网络。

二是充分利用传统媒体和新兴媒体,充分发挥中国密码学会、商用密码领域的行业协会等社会团体和全国商用密码展览会、《密码学报》、全国密码技术竞赛等学术、产业交流平台的作用,创新宣传方式和手段,加大密码知识科普工作的力度,增强密码社会认知度和应用密码保护信息安全的意识。

三是各级教育主管部门和公务员主管部门将密码安全教育纳入国民教育体系和公务员教育培训体系,加强对大中小学生密码常识和密码安全意识的培养,加大对各级领导干部进行密码培训的力度,推动密码知识进校园,进党校(行政学院)、干部学院。

34.问:为什么要把密码安全教育纳入国民教育体系和公务员教育培训体系?

答:将密码安全教育纳入国民教育体系,在各阶段的教育过程中,开展密码常识、密码安全意识的教育,有利于提高全民密码安全意识,提高全社会自觉使用密码保护网络与信息安全、维护国家密码安全的意识。

在公务员培训中,密码安全教育主要是关于密码常识、密码安全意识和密码工作的教育,将密码安全教育纳入公务员教育培训体系,有利于公务员在履行职责过程中更好地贯彻总体国家安全观,提高密码安全意识与履职能力。

35.问:《密码法》对密码工作规划和经费做了什么样的规定?

答:为保障密码工作顺利开展,充分发挥密码在网络与信息安全中的基础支撑作用,《密码法》第十一条规定:“县级以上人民政府应当将密码工作纳入本级国民经济和社会发展规划,所需经费列入本级财政预算。”

36.问:《密码法》对禁止利用密码从事违法犯罪活动做了什么样的规定?

答:密码是一把“双刃剑”,既可以用于合法的信息保护,也可能被用来从事违法犯罪活动。密码一旦被用来从事违法犯罪活动,将严重危害国家安全、社会公共利益和公民个人合法权益。因此,《密码法》第十二条明确规定:“任何组织或者个人不得窃取他人加密保护的信息或者非法侵入他人的密码保障系统。任何组织或者个人不得利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动。”

37.问:什么是“窃取他人加密保护的信息或者非法侵入他人的密码保障系统”?

答:窃取他人加密保护的信息,是指未经他人授权,采用非法攻击密码等方式获取他人加密保护的信息的违法行为。

非法侵入他人的密码保障系统,是指未经他人授权,采用非法攻击密码等方式进入他人的密码保障系统。这里的“密码保障系统”,是指采用密码技术、产品或者服务集成建设的,实现加密保护、安全认证功能的系统。

38.问:《密码法》为什么规定“任何组织和个人不得利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动”?

答:随着网络信息技术的不断发展,利用密码从事违法犯罪活动的案例屡见不鲜,造成了广泛的社会影响。例如,2017年5月,一款名为“魔哭”(WannaCry)的蠕虫勒索软件袭击全球网络。它加密受害者电脑内的重要文件,除非受害者通过比特币交出赎金,否则加密文件无法恢复。“魔哭”勒索软件的影响范围覆盖全球150多个国家和地区,超过30万台设备受到感染和影响。我国有3万多家机构、数十万台设备受到该软件袭击,给国家、社会和公民个人财产造成巨大损失,严重危害了国家安全和社会稳定。

此外,《密码法》关于不得利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动的规定也是与《刑法》、《治安管理处罚法》、《网络安全法》等有关法律、行政法规的规定相衔接的。

39.问:核心密码和普通密码遵循什么样的管理原则?

答:核心密码、普通密码用于保护国家秘密信息,其本身也属于国家秘密,直接关系国家安全。

《密码法》从以下几个方面规定了核心密码、普通密码的管理原则。

一是国家加强核心密码、普通密码的科学规划、管理和使用。为深入贯彻落实党中央对密码工作的决策部署,国家着眼密码工作长远发展,加强核心密码、普通密码的科学规划、管理和使用,确保核心密码、普通密码安全。

二是加强制度建设,完善管理措施。国家密码管理部门和有关部门制定印发了核心密码、普通密码管理的一系列法规制度和标准规范,对核心密码、普通密码的科研、生产、服务、检测、装备、使用和销毁等各个环节实行全生命周期的严格统一管理。

三是增强密码安全保障能力。国家加强密码保障体系和密码安全监管能力建设,强化密码安全监测预警、安全风险评估、应急处置和监督管理等工作,夯实密码安全基础。

40.问:《密码法》对核心密码、普通密码使用作了哪些规定?

答:《密码法》第十四条明确规定:在有线、无线通信中传递的国家秘密信息,以及存储、处理国家秘密信息的信息系统,应当依照法律、行政法规和国家有关规定使用核心密码、普通密码进行加密保护、安全认证。