密评辅助工具的几点思考

关于密评辅助工具的几点思考：

举个简单得例子：

目前针对这一物理和环境层面的商用密码应用安全性评估 测评对象一般指的是系统所在的系统及重要区域等内容
需要人主观的去评判客观的事实（机房电子门禁产品及相关技术文档、视频监控设备及相关技术文档）
相关的技术检测工具 无非是用在身份鉴别和数据的完整性保护时所采用的密码算法及技术
人为主观收集的客观证据 能够在密评工具的协助下 自动识别身份鉴别  数据的完整性保护所采用的密码技术
并能够智能的对收集的需要完整性保护的数据进行相关的完整性检验工作（算法验证及数据比对等手段）

针对目前的等保三级系统来说  商用密码应用安全性评估在网络和通信层面要点一般为信道
一个良好的网络拓扑图和专业知识过硬的运维人员 能够更好的协助我们密评工作的开展和实施
我们能够从网络拓扑图和系统相关运维人员的描述中 更好筛选出我们本次评估的测评对象信道有几条 有哪几条（同时也不要忘了密码应用方案中的参考）
基于目前这种情况 我们密评人员也只能根据系统的有关资料来进行主观判断（信道）  
（理想情况下：密评辅助工具能够自动识别所导入的网络拓扑图或者系统相关资料自动分析其信道 ➡有点不切实际  
 可能未来几年能够实现  但是就目前现阶段的发展和形式（等保工具就是个例子） 还有待商榷  基本上是一些半自动化的工具  人为进行主观的判断 然后录入系统）
根据本层面的有关测评内容 对密评辅助工具做出一下思考：
在不考虑人为进行主观判断其被测系统的信道的前提下  密评辅助工具    能够自动识别和分析密评人员通过测评工具所获取的数据流量包（这一过程是需要人为主观的去抓取数据流量包）
通过相应的筛选命令（这一过程又是人为的主观输入  例如：ip.addr ==XX.XX.XX.XX and/&&  tls等等）  工具能够自动分析其通信信道通信过程中所使用的数字证书（身份鉴别）、密码算法套件（通信数据完整性和通信过程中重要数据的机密性）是否合规、正确、有效等等内容
....................

说到这里 还是是要区分一下  密评辅助工具具体指的是协助密评人员编写报告的工具？  还是协助密评人员开展测评的工具？
当然 这两者 都得具备   但是就针对目前现阶段市场环境   我也见过这样的工具  但是有些功能还是有点差强人意  相关的密评辅助工具资质检测报告都没有就直接来进行检测  
然后出具相关的系统报告      是不是这样子前后就很矛盾  说服力呢？
总之呢 个人感觉  仅凭工具完全的代替人工去开展测评 出具相应的报告 理论上可以  但是完全的自动化工具代替人工是目前现阶段不可行的

接下来针对目前现阶段的技术水平和测评能力对密评辅助工具列出以下几点要求：

技术层面
********************************************************************
数据流量：
①自动抓取数据流量包：通过一定的技术手段（网线接入或者镜像方式等），能够抓取某一过程的数据流量包。
②能够自动通过命令筛选出目标数据流量：通过过滤手段等技术，获取到我们想要的数据流量包。
③能够自动对目标数据流量进行分析：对所获取的目标数据流量包，能够自动识别其握手阶段、或者是通信阶段的所采用的密码算法或者密码技术（例如：自动识别出算法套件等）。

数字证书：
①自动导出证书：在上一个阶段的基础上，通过对目标数据流量进行分析的过程中能够自动识别并导出证书，区分清楚加密证书或者是签名证书。
②能够自动分析证书是否合规：通过一定的技术手段对导出来的数字证书能够自动分析、检测（例如：自动分析其签名算法、颁发者、有效日期、证书的格式等内容），验证证书的合法性。
③能够自动识别上一级证书：通过技术手段对导入的数字证书能够自动识别上一级证书或者是其根证书，并加以验证。

签名验签：
①自动验签：能够自动对目标系统所产出的签章文件（例如：医疗盖章文件、红头盖章文件等）自动验签，紧接着上一阶段自动分析其数字证书是否合规。

数据保护：
①完整性保护：能够自动识别通过完整性保护的文件或者数据等（这一点目前来说应该也是人为的导入），包括但不限于日志技术、数据库里面的结构化数据（重要数据）等内容，
能够自动识别出被测系统进行数据完整性保护，所采用的密码算法和密码技术，并进一步加以验证。
②机密性保护：同理，能够自动识别通过机密性保护的文件或者数据等（这一点目前来说应该也是人为的导入），包括但不限于日志技术、数据库里面的结构化数据（重要数据）等内容，
能够自动识别出被测系统进行数据机密性保护，所采用的密码算法和密码技术，并进一步加以验证。
*********************************************************************

报告层面
*********************************************************************
其实关于这一层面，我不想做过多的描述，其实目标是为了节省人力和时间，获取更大的利益空间。
但是就目前现阶段商用密码应用安全性评估的发展，以等保为例，做出以下思考：
①能够自动识别项目中有关甲方的重要信息，自动导出其项目的过程文档（风险告知书、保密协议、现场测评授权书等等内容）
②系统能够自动录入我们前期收集到的系统信息，完成相应的测评方案的编写。
③能够根据测评人员整理出来的现场测评记录表，自动生成报告。

******************************************************************