一、国密改造背景与政策解读：为什么做国密？

说实话，我刚开始接触国密改造那会儿，心里也犯嘀咕——好好的国际算法用着，干嘛非要折腾一遍？直到我亲手做完第一个等保三级系统的改造，才真正明白这背后的逻辑。

国密改造不是拍脑袋的决定。它背后有法律撑腰，有合规红线，也有技术自主的深层考量。今天我就把这块掰开了讲清楚。

2020年1月1日，《中华人民共和国密码法》正式施行。这部法律把密码分成了三类：

我们做国密改造，主要涉及的就是商用密码这一块。法律明确要求：关键信息基础设施必须使用商用密码进行保护，而且还得通过合规性评估。

关键点：《密码法》第二十七条明确规定——关键信息基础设施的运营者，应当使用商用密码进行保护，并自行或者委托商用密码检测机构开展商用密码应用安全性评估。

说白了，不是你想不想用，而是法律要求你必须用。我遇到过一些客户，一开始觉得“我系统跑得好好的，改它干嘛”，等等保测评机构拿着《密码法》条款找上门，才着急忙慌地启动改造。嗯，这种被动局面其实完全可以避免。

等保2.0（GB/T 22239-2019）相比1.0版本，最大的变化之一就是把密码单独拎出来成了一个控制点。在“安全通信网络”、“安全计算环境”、“安全区域边界”这些层面，都有明确的密码要求。

我整理了一个等保三级系统常见的密码要求清单：

等保2.0的测评里，密码这块是一票否决项。我见过一个项目，其他项都过了，就因为密码模块没通过合规检测，整个等保测评被打回重来。所以，密码改造不是锦上添花，是硬门槛。

国密算法不是一套算法，而是一个完整的体系。目前最核心的三个算法是：SM2、SM3、SM4。我习惯把它们比作“国密三剑客”，各司其职。

算法	类型	密钥长度	对标国际算法	主要用途
SM2	非对称（椭圆曲线）	256位	RSA-2048 / ECDSA	密钥交换、数字签名、加密
SM3	哈希	256位摘要	SHA-256	完整性校验、消息认证
SM4	对称（分组密码）	128位	AES-128	数据加密

这三个算法怎么配合？我画了一张图，你看一眼就明白了：

你可能觉得，国际算法用了这么多年也没出啥大问题。但这里有个核心逻辑：密码主权。

举个例子。如果我们的金融系统全部依赖RSA、AES这些国际算法，一旦国际形势变化，别人在算法层面留后门或者断供，整个金融体系的安全就会受到威胁。这不是危言耸听——我在做某银行核心系统改造时，他们的安全负责人就明确说过：“我们不能把金融命脉的密码钥匙交给别人。”

⚠️ 避坑提醒：我曾经遇到一个项目，客户觉得“先跑着，等测评前再改”。结果等保测评时发现，系统里大量使用了OpenSSL自带的RSA/AES，没有国密算法模块。最后花了三个月紧急改造，项目延期，还被通报批评。国密改造一定要提前规划，别等到测评前才动手。

根据国家密码管理局和网信办的要求，关键时间节点如下：

现在已经是2025年之后了，如果你所在系统的国密改造还没完成，那真的得抓紧了。合规红线不等人。

我根据实际项目经验，把需要改造的系统分成了三类：

我个人建议，不管你的系统属于哪一类，只要涉及用户敏感信息、交易数据、身份认证，都尽早启动国密改造。因为合规要求只会越来越严，不会放松。

💡 我的习惯：在项目启动前，先做一次“密码应用现状评估”。把系统里所有用到密码的地方列出来——SSL/TLS、数字签名、数据加密、身份认证……然后对照国密算法清单，看哪些需要替换。这一步做好了，后面改造的坑能少踩一半。

国密改造不是技术炫技，而是合规刚需。《密码法》和等保2.0已经把路铺好了，我们作为技术人员，要做的就是理解政策、掌握算法、落地改造。