1. 课程导入与密码资产认知

在开始任何扫描、探测或清单整理之前，先要回答一个看似简单却极易被含糊带过的问题：我们到底在找什么？如果对“密码资产”的边界没有共识，后续的发现工作就会变成漫无目的的端口扫描，清单也会沦为一份字段随意、无法复核的表格。本节的目标是把密码资产这个概念拆解到可识别、可枚举、可记录的程度，并建立整门课程的工作路径。

一、密码资产的定义与边界

密码资产是指在信息系统、网络设备、应用系统或业务流程中，承担机密性、完整性、身份鉴别或不可否认性功能的密码要素及其配置载体。这个定义包含两个关键点：一是“承担密码功能”，二是“可被定位和描述”。前者把它与普通业务数据区分开，后者决定了它能否进入清单。

需要强调的是，密码资产不等于“使用了密码的文件”。一份用 AES 加密的数据库备份，其资产价值在于加密算法、密钥管理方式和密钥本身，而不在于备份文件的大小。同样，一张 TLS 证书的价值在于其公钥、私钥、签发链和有效期，而不是证书文件的字节数。理解这一点，才能避免在发现阶段把大量无关数据纳入范围。

二、四类典型资产形态

从工程实践看，密码资产通常以四种形态出现，它们对应不同的发现手段和记录字段。

• 密码算法：包括对称算法（如 AES-128、SM4）、非对称算法（如 RSA-2048、ECC P-256、SM2）、杂凑算法（如 SHA-256、SM3）以及算法的工作模式（如 CBC、GCM）。算法本身是“软资产”，需要通过配置文件、代码调用、协议协商记录来间接发现。
• 密钥：包括对称密钥、非对称密钥对、密钥加密密钥（KEK）和数据加密密钥（DEK）。密钥是最敏感也最难枚举的资产，发现重点在于密钥的存储位置、保护方式和生命周期状态，而不是密钥明文本身。
• 证书：包括服务器证书、客户端证书、代码签名证书、根证书与中间证书。证书具有明确的可枚举特征——主题、签发者、序列号、有效期、公钥算法、签名算法，因此是清单中最容易结构化的一类。
• 协议配置：包括 TLS/SSL 版本与套件、SSH 主机密钥与算法、IPsec 参数、Kerberos 配置、密码套件优先级等。这类资产决定了“实际运行中使用了什么密码”，往往与算法清单存在偏差，必须单独采集。

三、从“资产形态”到“发现线索”

四类形态的可观测性差异很大，这直接决定了发现策略。证书和协议配置具有网络可探测性：对目标端口发起 TLS 握手即可读取证书链和协商套件；SSH 连接可读取主机密钥算法。算法和密钥则更多存在于主机内部：配置文件中的 ssl_ciphers、代码中的 Cipher.getInstance("AES/CBC/PKCS5Padding")、密钥库文件、环境变量、KMS 调用记录，都是线索来源。

因此，一个完整的发现过程通常由三条并行线索构成：网络侧探测、主机侧配置采集、代码与制品侧扫描。三条线索的产出最终要归并到同一份资产台账中，用统一的标识关联起来。

四、清单构建的整体目标

发现是手段，清单是产出。一份可用的密码资产清单至少要满足三个条件：可定位（知道资产在哪台主机、哪个服务、哪个文件）、可描述（记录算法、密钥长度、证书主体、协议版本等关键属性）、可复核（有采集时间、采集方式和证据来源）。缺少任何一条，清单都无法支撑后续的风险评估和迁移决策。

在实际项目中，常见的失败模式是“扫了一大堆，表格填不满”。原因往往不是工具不够，而是采集前没有定义字段。建议在动手前先确定最小字段集，例如：资产标识、资产类型、所属系统、所在位置、算法名称与参数、密钥长度、证书有效期、协议版本、采集方式、采集时间、证据引用。字段确定后，再反推需要哪些探测动作，效率会明显提高。

五、学习路径与后续章节的关系

本课程后续内容围绕“发现—识别—记录—核验”展开。先建立资产分类框架和字段规范，再分别深入网络探测、主机采集、代码扫描三类手段，随后处理证书链解析、密钥元数据提取、协议套件比对等具体技术点，最后落到清单模板设计、去重归并和质量核验。本节作为起点，只需要建立两个共识：密码资产的边界由“是否承担密码功能”划定；清单的价值由“可定位、可描述、可复核”衡量。