A. 商用密碼應用安全性評估應當與
商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網路安全等級測評制度相銜接,避免重復評估、測評。
開展密評，是為了解決商用密碼應用中存在的突出問題，為網路和信息系統的安全提供科學評價方法，逐步規范商用密碼的使用和管理。
從根本上改變商用密碼應用不廣泛、不規范、不安全的現狀，確保商用密碼在網路和信息系統中有效使用，切實構建起堅實可靠的網路安全密碼屏障。開展密評，是國家網路安全和密碼相關法律法規提出的明確要求，是法定責任和義務。
總體要求：
密碼演算法：使用的密碼演算法應當符合法律、法規的規定和密碼相關國家標准、行業標準的有關要求，重點關注密碼演算法的合規性。
密碼技術：使用的密碼技術應遵循密碼相關國家標准和行業標准。重點關注加密技術的合規性，密碼技術應保證自身的安全性，可靠性，與信息系統的互聯互通性。
密碼產品：使用的密碼產品與密碼模塊應通過國家密碼管理部門核准。「密碼模塊」可包括密碼卡、密碼機、定製密碼模塊、密碼軟體等多種形態。
重點關注密碼產品的合規性和有效性，密碼產品和密碼模塊需根據國家相關規定進行密碼產品安全等級確定、檢測。其中根據GM/T0028-2014《密碼模塊安全技術要求》確定安全等級，依據GM/T0039-2015《密碼模塊安全檢測要求》進行產品檢測。
密碼服務：使用的密碼服務應通過國家密碼管理部門許可。如CA認證機構應獲得《電子認證服務使用密碼許可證》以及《電子認證服務許可證》。
B. 密碼測評難嗎
難。
公司或自己開發的密碼演算法是非常困難的，密碼演算法的強度也很難得到保證，一般開發出的密碼演算法會被專業的密碼破譯者輕而易舉地破解，絕大多數公司或者個人沒有能力開發出強度很強的密碼演算法，即使耗費很大的精力開發出這樣的演算法，切不談付出是否大於收益，密碼演算法遲早會被暴露出來，基於保密性的密碼演算法是無法獲得高安全性的。
為解決當前密碼應用存在的突出問題，國家頒布實施了《網路安全法》、《密碼法》、《網路安全審查辦法》、《國家政務信息化項目建設管理辦法》等一系列法律法規，都對密碼應用安全性評估提出要求，希望通過密碼應用安全性評估促進商用密碼的使用和管理規范，商用密碼應用安全性評估（簡稱「密評」）是指對採用商用密碼技術、產品和服務集成建設的網路和信息系統密碼應用的合規性、正確性和有效性進行評估，包括規劃階段的方案評審和建設、運行階段的安全評估。
C. 國家鼓勵商業密碼從業單位採用商用密碼什麼行業標准
第三章商用密碼
第二十一條國家鼓勵商用密碼技術的研究開發、學術交流、成果轉化和推廣應用，健全統一、開放、競爭、有序的商用密碼市場體系，鼓勵和促進商用密碼產業發展。
各級人民政府及其有關部門應當遵循非歧視原則，依法平等對待包括外商投資企業在內的商用密碼科研、生產、銷售、服務、進出口等單位(以下統稱商用密碼從業單位)。國家鼓勵在外商投資過程中基於自願原則和商業規則開展商用密碼技術合作。行政機關及其工作人員不得利用行政手段強制轉讓商用密碼技術。
商用密碼的科研、生產、銷售、服務和進出口，不得損害國家安全、社會公共利益或者他人合法權益。
第二十二條國家建立和完善商用密碼標准體系。
國務院標准化行政主管部門和國家密碼管理部門依據各自職責，組織制定商用密碼國家標准、行業標准。
國家支持社會團體、企業利用自主創新技術制定高於國家標准、行業標准相關技術要求的商用密碼團體標准、企業標准。
第二十三條國家推動參與商用密碼國際標准化活動，參與制定商用密碼國際標准，推進商用密碼中國標准與國外標准之間的轉化運用。
國家鼓勵企業、社會團體和教育、科研機構等參與商用密碼國際標准化活動。
第二十四條商用密碼從業單位開展商用密碼活動，應當符合有關法律、行政法規、商用密碼強制性國家標准以及該從業單位公開標準的技術要求。
國家鼓勵商用密碼從業單位採用商用密碼推薦性國家標准、行業標准，提升商用密碼的防護能力，維護用戶的合法權益。
第二十五條國家推進商用密碼檢測認證體系建設，制定商用密碼檢測認證技術規范、規則，鼓勵商用密碼從業單位自願接受商用密碼檢測認證，提升市場競爭力。
商用密碼檢測、認證機構應當依法取得相關資質，並依照法律、行政法規的規定和商用密碼檢測認證技術規范、規則開展商用密碼檢測認證。
商用密碼檢測、認證機構應當對其在商用密碼檢測認證中所知悉的國家秘密和商業秘密承擔保密義務。
第二十六條涉及國家安全、國計民生、社會公共利益的商用密碼產品，應當依法列入網路關鍵設備和網路安全專用產品目錄，由具備資格的機構檢測認證合格後，方可銷售或者提供。商用密碼產品檢測認證適用《中華人民共和國網路安全法》的有關規定，避免重復檢測認證。
商用密碼服務使用網路關鍵設備和網路安全專用產品的，應當經商用密碼認證機構對該商用密碼服務認證合格。
第二十七條法律、行政法規和國家有關規定要求使用商用密碼進行保護的關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自行或者委託商用密碼檢測機構開展商用密碼應用安全性評估。商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網路安全等級測評制度相銜接，避免重復評估、測評。
關鍵信息基礎設施的運營者采購涉及商用密碼的網路產品和服務，可能影響國家安全的，應當按照《中華人民共和國網路安全法》的規定，通過國家網信部門會同國家密碼管理部門等有關部門組織的國家安全審查。
第二十八條國務院商務主管部門、國家密碼管理部門依法對涉及國家安全、社會公共利益且具有加密保護功能的商用密碼實施進口許可，對涉及國家安全、社會公共利益或者中國承擔國際義務的商用密碼實施出口管制。商用密碼進口許可清單和出口管制清單由國務院商務主管部門會同國家密碼管理部門和海關總署制定並公布。
大眾消費類產品所採用的商用密碼不實行進口許可和出口管制制度。
第二十九條國家密碼管理部門對採用商用密碼技術從事電子政務電子認證服務的機構進行認定，會同有關部門負責政務活動中使用電子簽名、數據電文的管理。
第三十條商用密碼領域的行業協會等組織依照法律、行政法規及其章程的規定，為商用密碼從業單位提供信息、技術、培訓等服務，引導和督促商用密碼從業單位依法開展商用密碼活動，加強行業自律，推動行業誠信建設，促進行業健康發展。
第三十一條密碼管理部門和有關部門建立日常監管和隨機抽查相結合的商用密碼事中事後監管制度，建立統一的商用密碼監督管理信息平台，推進事中事後監管與社會信用體系相銜接，強化商用密碼從業單位自律和社會監督。
密碼管理部門和有關部門及其工作人員不得要求商用密碼從業單位和商用密碼檢測、認證機構向其披露源代碼等密碼相關專有信息，並對其在履行職責中知悉的商業秘密和個人隱私嚴格保密，不得泄露或者非法向他人提供。
D. 國家公民怎樣使用商用密碼法
第三章商用密碼
第二十一條國家鼓勵商用密碼技術的研究開發、學術交流、成果轉化和推廣應用，健全統一、開放、競爭、有序的商用密碼市場體系，鼓勵和促進商用密碼產業發展。
各級人民政府及其有關部門應當遵循非歧視原則，依法平等對待包括外商投資企業在內的商用密碼科研、生產、銷售、服務、進出口等單位（以下統稱商用密碼從業單位）。國家鼓勵在外商投資過程中基於自願原則和商業規則開展商用密碼技術合作。行政機關及其工作人員不得利用行政手段強制轉讓商用密碼技術。
商用密碼的科研、生產、銷售、服務和進出口，不得損害國家安全、社會公共利益或者他人合法權益。
第二十二條國家建立和完善商用密碼標准體系。
國務院標准化行政主管部門和國家密碼管理部門依據各自職責，組織制定商用密碼國家標准、行業標准。
國家支持社會團體、企業利用自主創新技術制定高於國家標准、行業標准相關技術要求的商用密碼團體標准、企業標准。
第二十三條國家推動參與商用密碼國際標准化活動，參與制定商用密碼國際標准，推進商用密碼中國標准與國外標准之間的轉化運用。
國家鼓勵企業、社會團體和教育、科研機構等參與商用密碼國際標准化活動。
第二十四條商用密碼從業單位開展商用密碼活動，應當符合有關法律、行政法規、商用密碼強制性國家標准以及該從業單位公開標準的技術要求。
國家鼓勵商用密碼從業單位採用商用密碼推薦性國家標准、行業標准，提升商用密碼的防護能力，維護用戶的合法權益。
第二十五條國家推進商用密碼檢測認證體系建設，制定商用密碼檢測認證技術規范、規則，鼓勵商用密碼從業單位自願接受商用密碼檢測認證，提升市場競爭力。
商用密碼檢測、認證機構應當依法取得相關資質，並依照法律、行政法規的規定和商用密碼檢測認證技術規范、規則開展商用密碼檢測認證。
商用密碼檢測、認證機構應當對其在商用密碼檢測認證中所知悉的國家秘密和商業秘密承擔保密義務。
第二十六條涉及國家安全、國計民生、社會公共利益的商用密碼產品，應當依法列入網路關鍵設備和網路安全專用產品目錄，由具備資格的機構檢測認證合格後，方可銷售或者提供。商用密碼產品檢測認證適用《中華人民共和國網路安全法》的有關規定，避免重復檢測認證。
商用密碼服務使用網路關鍵設備和網路安全專用產品的，應當經商用密碼認證機構對該商用密碼服務認證合格。
第二十七條法律、行政法規和國家有關規定要求使用商用密碼進行保護的關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自行或者委託商用密碼檢測機構開展商用密碼應用安全性評估。商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網路安全等級測評制度相銜接，避免重復評估、測評。
關鍵信息基礎設施的運營者采購涉及商用密碼的網路產品和服務，可能影響國家安全的，應當按照《中華人民共和國網路安全法》的規定，通過國家網信部門會同國家密碼管理部門等有關部門組織的國家安全審查。
第二十八條國務院商務主管部門、國家密碼管理部門依法對涉及國家安全、社會公共利益且具有加密保護功能的商用密碼實施進口許可，對涉及國家安全、社會公共利益或者中國承擔國際義務的商用密碼實施出口管制。商用密碼進口許可清單和出口管制清單由國務院商務主管部門會同國家密碼管理部門和海關總署制定並公布。
大眾消費類產品所採用的商用密碼不實行進口許可和出口管制制度。
第二十九條國家密碼管理部門對採用商用密碼技術從事電子政務電子認證服務的機構進行認定，會同有關部門負責政務活動中使用電子簽名、數據電文的管理。
第三十條商用密碼領域的行業協會等組織依照法律、行政法規及其章程的規定，為商用密碼從業單位提供信息、技術、培訓等服務，引導和督促商用密碼從業單位依法開展商用密碼活動，加強行業自律，推動行業誠信建設，促進行業健康發展。
第三十一條密碼管理部門和有關部門建立日常監管和隨機抽查相結合的商用密碼事中事後監管制度，建立統一的商用密碼監督管理信息平台，推進事中事後監管與社會信用體系相銜接，強化商用密碼從業單位自律和社會監督。
密碼管理部門和有關部門及其工作人員不得要求商用密碼從業單位和商用密碼檢測、認證機構向其披露源代碼等密碼相關專有信息，並對其在履行職責中知悉的商業秘密和個人隱私嚴格保密，不得泄露或者非法向他人提供。
E. 根據中華人民共和國密碼法
《中華人民共和國密碼法》具體如下：
1、為了規范密碼應用和管理，促進密碼事業發展，保障網路與信息安全，維護國家安全和社會公共利益，保護公民、法人和其他組織的合法權益，制定本法；
2、 密碼工作堅持總體國家安全觀，遵循統一領導、分級負責，創新發展、服務大局，依法管理、保障安全的原則；
3、 堅持中國共產黨對密碼工作的領導。中央密碼工作領導機構對全國密碼工作實行統一領導，制定國家密碼工作重大方針政策，統籌協調國家密碼重大事項和重要工作，推進國家密碼法治建設；
4、 國家密碼管理部門負責管理全國的密碼工作。縣級以上地方各級密碼管理部門負責管理本行政區域的密碼工作。國家機關和涉及密碼工作的單位在其職責范圍內負責本機關、本單位或者本系統的密碼工作。
【法律法規】
《中華人民共和國密碼法（釋義）》
第二十七條 法律、行政法規和國家有關規定要求使用商用密碼進行保護的關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自行或者委託商用密碼檢測機構開展商用密碼應用安全性評估。商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網路安全等級測評制度相銜接，避免重復評估、測評。
關鍵信息基礎設施的運營者采購涉及商用密碼的網路產品和服務，可能影響國家安全的，應當按照《中華人民共和國網路安全法》的規定，通過國家網信部門會同國家密碼管理部門等有關部門組織的國家安全審查。
關鍵信息基礎設施，是指公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域。
關鍵信息基礎設施的運營者，是指關鍵信息基礎設施的所有者、管理者和網路服務提供者。
商用密碼應用安全性評估。是指在採用商用密碼技術、產品和服務集成建設的網路和信息系統中，對其密碼應用的合規性、正確性和有效性進行評估。
F. 密碼系統的攻擊評估
衡量密碼系統攻擊的復雜性主要考慮三個方面的因素： （Data Complexity）
用做密碼攻擊所需要輸入的數據量； （Processing Complexity）
完成攻擊所需要花費的時間； （Storage Requirement）
進行攻擊所需要的數據存儲空間大小。
攻擊的復雜性取決於以上三個因素的最小復雜度，在實際實施攻擊時往往要考慮這三種復雜性的折衷，如存儲需求越大，攻擊可能越快。
G. 密評分幾級
密評總共是分為五級。
密評」全稱「密碼應用安全性評估」，是指在採用密碼技術、產品和服務集成建設的網路和信息系統中，對其密碼應用的合規性、正確性和有效性進行評估。
在密評中，信息系統密碼應用安全要求分為五個級別。
第一級，是信息系統密碼應用安全要求等級的最低等級，要求信息系統符合通用要求和最低限度的管理要求，並鼓勵使用密碼保障信息系統安全。
第二級，是在第一級要求的基礎上，_加操作規程、人員上崗培訓與考核、應急預案等管理要求，並要求優先選擇使用密碼保障信息系統安全。
第三級，是在第二級要求的基礎上，_加對真實性、機密性的技術要求以及全部的管理要求。
第四級，是在第三級要求的基礎上，增加對完整性、不可否認性的技術要求。
第五級為最低要求。。
H. 什麼單位需要做商用密碼測評
密評工作由國家密碼管理部門認定的密碼測評機構承擔，國家密碼管理部門定期發布測評機構目錄
責任單位應當制定商用密碼應用建設方案，組織專家或者委託測評機構進行評估，評估結果作為項目規劃立項的重要依據和申報使用財政性資金項目的必備材料
責任單位應當委託測評機構進行商用密碼應用安全性評估，評估結果作為項目建設驗收的必備材料
責任單位應當委託測評機構定期開展商用密碼應用安全性評估，評估未通過，責任單位應當先期調整並重新組織評估；關鍵信息基礎設施，網路安全等級保護第三級及以上信息系統，每年至少評估一次
①基礎信息網路：電信網、廣播電視網、互聯網。
②重要信息系統：能源、教育、公安、測繪地理信息、社保、交通、衛生計生、金融等涉及國計民生和基礎信息資源的重要信息系統。
③重要工業控制系統：核設施、航空航天、先進製造、石油石化、油氣管網、電力系統、交通運輸、水利樞紐、城市設施等重要工業控制系統。
④面向社會服務的政務信息系統：黨政機關和使用財政性資金的事業單位和團體組織使用的面向社會服務的信息系統。