第一章 国密合规概述：标准、重要性与适用范围
国密合规，说白了就是让你用的密码算法是国家认可的。我刚开始做项目时，总觉得合规就是走个过场，直到有一次项目验收被卡住……嗯，从那以后我老老实实按规范来了。
咱们先聊聊什么是国密。国密就是国家密码管理局发布的商用密码算法标准。你想想看，数据安全的核心环节——加密、签名、认证，都得靠密码算法来支撑。如果用的是国外算法，哪天人家不让你用了，你怎么办？
国密标准发展历程
国密标准并不是一天建成的。我入行时，国密算法还只有SM1、SM2、SM3这几个基础款。后来随着《密码法》出台，标准体系越来越完善。
- 1999年：SM1对称加密算法发布
- 2005年：SM2椭圆曲线公钥密码算法、SM3密码杂凑算法发布
- 2007年：SM4分组密码算法发布
- 2012年：SM9标识密码算法发布
- 2020年：《密码法》正式实施，国密合规有了法律保障
我个人习惯把这个过程分为三个阶段。第一个是起步期，主要解决从无到有的问题。第二个是推广期，国家开始推动政务系统、关键基础设施优先使用国密。第三个是强制合规期，《密码法》出来后，很多场景必须用国密算法。
核心要点：国密算法已形成SM系列全栈覆盖，从对称加密、公钥加密、杂凑算法到数字证书、SSL协议，应有尽有。不是只有单点算法，是一整套密码体系。
为什么会这样发展？因为信息安全越来越重要，密码算法是信息安全的基石。如果基石是别人的，那你的安全就是别人说了算。
合规为什么重要
国密合规重要，不只是因为法律规定。我举个例子你就明白了。
之前有个客户，他们的系统一直用RSA加密。系统跑得好好的，突然有一天客户要求必须过等保三级。结果呢？等保三级要求使用国密算法，他们的系统全部要改造。改造周期三个月，费用翻了一倍。
避坑指南：我曾经见过一个项目，全部用OpenSSL自带的非国密算法加密。项目交付后，客户要求必须通过商用密码应用安全性评估。结果整个加密模块要重写，工期延了4个月。你想想看，这损失有多大。
合规的重要性，主要体现在这三点：
- 法律底线：《密码法》明确要求特定行业必须使用国密
- 安全可控：国密算法经过国家评审，安全性有保障
- 市场准入：不通过商用密码应用安全性评估，项目验收不了
| 行业领域 | 合规要求来源 | 强制时间 |
|---|---|---|
| 政务系统 | 电子政务、政务云 | 2020年起 |
| 金融系统 | 银保监会、央行 | 2021年起 |
| 能源系统 | 国家能源局 | 2022年起 |
| 医疗系统 | 卫健委 | 2023年起 |
说实话，现在做政府、金融、能源类的项目，国密合规已经成了标配。你不做合规，连招标资格都没有。
适用范围：哪些场景必须合规
国密合规不是所有系统都要做。我总结了三类必须做的场景：
- 关键信息基础设施：能源、交通、水利、金融、医疗、政务等
- 等保三级及以上系统：等保要求会直接引用国密标准
- 政府项目：只要是财政拨款的信息化项目，基本都要过
我的小建议：如果你是做企业级应用，建议也提前支持国密。长期看，国家要求只会越来越严。你现在做，成本低；以后改，成本高。我个人习惯是在系统设计阶段就把国密支持作为默认选项。
具体到技术层面，哪些模块需要改？
- SSL/TLS通信：SM2证书、SM4-SM3密码套件
- 数据加密存储：SM4对称加密
- 数字签名验签：SM2非对称签名
- 消息完整性校验：SM3哈希
- 身份认证：SM9标识密码
这不是全部。每个系统不一样，需要做的改造也不一样。但核心思路是一样的——把非国密算法替换为国密算法，不能混用，也不能留后门。
来看看本章的知识体系结构，我把核心逻辑画出来：
这就是国密合规的整体框架。你想想看，从标准到合规到适用范围，其实是一条线串起来的。标准是根子，合规是要求，适用范围是边界。