2. 密码资产发现的法律合规与授权边界
密码资产发现本质上是对目标系统进行主动探测与信息收集，它会触及网络边界、系统配置、证书内容乃至业务数据。因此，这项工作的第一道门槛不是技术能力，而是合法授权。未经授权对非自有系统进行扫描，即使只是"看看用了什么算法"，也可能构成对计算机信息系统安全的侵害。本节围绕"能不能扫、扫什么、怎么扫、扫完怎么处理数据"四个问题，梳理资产发现活动的合规要求与操作边界。
一、授权是资产发现的前置条件
合规的资产发现活动必须建立在明确的授权基础之上。授权来源通常有三类：一是对自有资产，依据组织内部的信息安全管理规定，由资产归属部门确认范围；二是对托管或云上资产，依据服务合同中的安全评估条款，并取得云服务商或托管方的书面许可；三是对第三方系统，必须取得系统所有者签署的书面授权书。口头同意、邮件中的模糊表态、以及"默认允许"都不能作为扫描依据。
一份可执行的授权文件至少应明确以下要素，缺一不可：
- 授权主体与对象：授权方名称、被授权方名称，以及具体到域名、IP 段、URL 路径或应用系统的资产清单。
- 授权行为范围：允许的探测类型，例如是否允许端口扫描、是否允许 TLS 握手探测、是否允许访问管理接口、是否允许抓取证书链。
- 时间窗口：扫描的起止日期与每日允许时段，避免与业务高峰或变更窗口冲突。
- 速率与影响约束：并发数、每秒请求数上限、是否允许触发登录失败等可能影响可用性的行为。
- 数据处理约定：采集到的证书、配置、密钥指纹等信息的存储位置、保留期限与销毁方式。
- 应急联系人：双方技术联系人及故障上报路径，一旦扫描引发异常可立即中止。
二、资产发现活动的合规要求
从法规层面看，资产发现活动主要受《网络安全法》《数据安全法》《个人信息保护法》以及《网络安全等级保护条例》约束。落到操作层面，可归纳为几条硬性要求：
最小必要原则。只采集构建密码资产清单所必需的信息。例如识别 TLS 证书使用的签名算法和公钥算法，只需完成握手并读取证书字段，无需抓取业务报文；识别 SSH 主机密钥算法，只需读取握手阶段的算法协商结果，无需尝试登录。凡是与"算法清单"无关的数据，一律不采集。
不影响可用性。扫描流量应控制在目标系统可承受范围内。实践中建议对生产系统采用低并发（如并发 5～10）、限制每秒新建连接数、避开业务高峰，并对关键系统先做单点试探再逐步放开。对于明确标注为"禁止主动探测"的系统，应改用被动方式，如分析流量镜像或读取配置基线。
可追溯。所有扫描活动应留存操作日志：谁在什么时间、从哪个源 IP、对哪些目标、执行了哪类探测、结果如何。日志本身也是事后界定责任、证明合规的重要依据。
三、数据保护与隐私约束
资产发现过程中容易"顺手"接触到敏感数据，必须提前设防。证书主题与 SAN 字段可能包含内部域名、员工邮箱甚至主机命名规则，这些属于组织内部信息；配置文件中可能残留硬编码口令、API Key、私钥片段；扫描结果中的密钥指纹、证书序列号也具有一定敏感性。
处理原则是：采集端即做过滤，落库前脱敏。例如对证书主题中的邮箱做掩码，对配置文件中匹配到的高熵字符串只记录"存在疑似凭据"的标记而不保存原文，对私钥内容一律不落盘。存储上应使用加密数据库或受控的资产管理系统，按项目隔离访问权限，并设定保留期限——一般建议原始扫描数据保留不超过 90 天，汇总后的算法清单可长期保留但需去除敏感字段。若扫描涉及个人信息（如证书中的个人邮箱），还应评估是否属于《个人信息保护法》规制的处理活动，必要时履行告知义务。
四、授权范围内的扫描执行方法
在授权明确之后，执行阶段的核心是"按范围、按速率、按类型"三对齐。下面给出一个可参考的授权与执行对照结构，帮助在实操中把合规要求落到具体动作上。
执行时建议采用"先被动、后主动，先单点、后批量"的顺序。被动方式包括读取 CMDB 中的资产台账、分析已有流量镜像中的 TLS 握手记录、导出证书管理系统的存量证书；主动方式则是在授权范围内对目标发起 TLS/SSH 握手探测。以 TLS 探测为例，一次合规的探测只需完成 ClientHello 与 ServerHello 交换并读取 Certificate 消息，从中提取签名算法（如 sha256WithRSAEncryption）、公钥算法与长度（如 RSA 2048、ECDSA P-256）、协议版本（TLS 1.2/1.3），随后主动关闭连接，不发送任何应用层数据。这样的探测对目标几乎无影响，却能覆盖算法清单所需的核心字段。
速率控制上，可设定单目标每秒不超过 3 个新建连接、全局并发不超过 10，并在探测间隔中加入随机抖动，避免形成明显的固定节奏流量。对返回异常（连接超时、握手失败率骤升）的目标应立即降速或暂停，并核对是否在授权清单内、是否处于业务敏感时段。
五、结果判读与合规复核
扫描结束后，除了整理算法清单，还应做一次合规复核：实际扫描的资产是否全部落在授权清单内、有无越界记录；采集的数据字段是否都属必要、有无敏感信息残留；日志是否完整可追溯；原始数据是否已按约定脱敏或进入保留期管理。任何一项不满足，都应在清单交付前完成整改。只有把"授权—执行—数据"三个环节都闭合，密码资产发现的结果才具备可用的合规基础，后续的算法清单构建与风险处置才有意义。