21_6346_00_x

DỰ THẢO CỘNG HOÀ XÃ HỘI CHỦ NGHĨA VIỆT NAM QCVN XXXX:2021/BQP QUY CHUẨN KỸ THUẬT QUỐC GIA VỀ YÊU CẦU KỸ THUẬT MẬT MÃ SỬ DỤNG TRONG CÁC SẢN PHẨM MẬT MÃ DÂN SỰ THUỘC NHÓM SẢN PHẨM BẢO MẬT LUỒNG IP SỬ DỤNG CÔNG NGHỆ IPSEC VÀ TLS National technical regulation on cryptographic technical requirements used in civil cryptography products under IP security products group with IPsec an TLS HÀ NỘI – 2021 MỤC LỤC Lời nói đầu QUY ĐỊNH CHUNG 1.1 Phạm vi điều chỉnh 1.2 Đối tượng áp dụng 1.3 Giải thích từ ngữ QUY ĐỊNH KỸ THUẬT 2.1 Yêu cầu kỹ thuật sản phẩm sử dụng công nghệ IPsec VPN 2.1.1 Yêu cầu sử dụng giao thức thuật toán mật mã .7 2.1.2 Yêu cầu an toàn giao thức tham số mật mã 2.2 Yêu cầu kỹ thuật sản phẩm sử dụng công nghệ TLS VPN 14 2.2.1 Yêu cầu sử dụng giao thức thuật toán mật mã 14 2.2.2 Yêu cầu an toàn giao thức tham số mật mã 16 QUY ĐỊNH VỀ QUẢN LÝ 21 TRÁCH NHIỆM CỦA TỔ CHỨC, CÁ NHÂN 21 TỔ CHỨC THỰC HIỆN .21 Phụ lục D 22 TÀI LIỆU THAM KHẢO .23 Lời nói đầu QCVN XXXX:2021/BQP Cục Quản lý mật mã dân Kiểm định sản phẩm mật mã – Ban Cơ yếu Chính phủ biên soạn, Bộ Khoa học Cơng nghệ thẩm định, Ban Cơ yếu Chính phủ trình duyệt ban hành theo Quyết định số dsggds/2021/QĐ-BQP ngày tháng năm 2021 Bộ trưởng Bộ Quốc phòng QUY ĐỊNH CHUNG 1.1 Phạm vi điều chỉnh Quy chuẩn kỹ thuật quốc gia quy định mức giới hạn đặc tính kỹ thuật mật mã sản phẩm bảo mật luồng IP sử dụng công nghệ TLS VPN, IPSec VPN phục vụ bảo vệ thông tin khơng thuộc phạm vi bí mật nhà nước 1.2 Đối tượng áp dụng Quy chuẩn áp dụng tổ chức cá nhân kinh doanh sử dụng sản phẩm mật mã dân để bảo vệ thông tin khơng thuộc phạm vi bí mật nhà nước 1.3 Giải thích từ ngữ Trong Quy chuẩn này, từ ngữ hiểu sau: 1.3.1 "Thông tin khơng thuộc phạm vi bí mật nhà nước" thơng tin không thuộc nội dung tin "tuyệt mật", "tối mật" “mật" quy định Luật bảo vệ bí mật nhà nước ngày 15 tháng 11 năm 2018 1.3.2 "Mật mã" quy tắc, quy ước riêng dùng để thay đổi hình thức biểu thơng tin nhằm bảo đảm bí mật, xác thực, tồn vẹn nội dung thông tin 1.3.3 "Mật mã dân sự" kỹ thuật mật mã sản phẩm mật mã sử dụng để bảo mật xác thực thông tin khơng thuộc phạm vi bí mật nhà nước 1.3.4 "Sản phẩm mật mã dân sự" tài liệu, trang thiết bị kỹ thuật nghiệp vụ mật mã để bảo vệ thơng tin khơng thuộc phạm vi bí mật nhà nước 1.3.5 "Sản phẩm bảo mật luồng IP" sản phẩm mật mã dân sử dụng thuật toán mật mã, kỹ thuật mật mã để tạo kênh truyền bảo mật hai đầu môi trường mạng IP 1.3.6 "Kỹ thuật mật mã" phương pháp, phương tiện có ứng dụng mật mã để bảo vệ thơng tin 1.3.7 "Mã hóa" phép biến đổi khả nghịch liệu thuật toán mật mã để tạo mã, nhằm mục đích che giấu nội dung thơng tin liệu 1.3.8 "Giải mã" phép toán ngược với phép mã hóa tương ứng 1.3.9 "Mã khối" thuật tốn mã hóa thao tác khối rõ, nghĩa xâu bít có độ dài xác định, kết cho khối mã 1.3.10 "Khóa" dãy ký tự sử dụng phép biến đổi mật mã (ví dụ phép mã hóa, giải mã) 1.3.11 "Chữ ký số" chuỗi số, kết phép biến đổi mật mã thông điệp liệu nhằm cung cấp phương tiện để kiểm tra tính xác thực nguồn gốc thơng điệp liệu, tính tồn vẹn liệu tính khơng thể chối bỏ người ký 1.3.12 Chữ viết tắt Chữ viết tắt Tên tiếng anh Tên tiếng việt AES Advanced Encryption Standard Tiêu chuẩn mã hóa tiên tiến CAST Carlisle Adams Tavares CFB Stafford Tên hệ mã ba nhà toán học phát minh Carlisle Adams Stafford Tavares Cipher Block Chaining Mode Chế độ hoạt động móc xích khối mã Cipher Feedback Mode Chế độ phản hồi mã CTR Counter Mode CTR_DRBG DSA Counter Deterministic Bộ tạo bít ngẫu nhiên tất định Random Bit Generator dựa đếm Diffie-Hellman Giao thức thỏa thuận khóa Diffie-Hellman Deterministic Random Bit Bộ tạo bít ngẫu nhiên tất định Generator Digital Signature Algorithm Thuật toán chữ ký số EC Elliptic Curve CBC DH DRBG - Chế độ đếm Đường cong Elliptic Elliptic Curve Digital Thuật toán chữ ký số dựa Signature Algorithm đường cong Elliptic GOST Russian National Standard Tiêu chuẩn Quốc gia Liên bang Nga Hash_DRBG Hash Deterministic Random Bộ tạo bít ngẫu nhiên tất định Bit Generator dựa hàm băm HMAC Hashed Message Mã xác thực thông báo dựa Authentication Code hàm băm HMAC_DRBG HMAC Deterministic Bộ tạo bít ngẫu nhiên tất định Random Bit Generator dựa HMAC IKE Internet Key Exchange Giao thức trao đổi khóa ECDSA Bộ tạo bit ngẫu nhiên tất định bậc hai đa biến OFB Multivariate Quadratic Deterministic Random Bit Generator Micali-Schnorr Deterministic Random Bit Generator Non-deterministic Random Bit Generator Output Feedback Mode PRF Pseudo Random Function Hàm giả ngẫu nhiên MQ_DRBG MS_DRBG NRBG Bộ tạo bit ngẫu nhiên tất định Micali Schnorr Bộ tạo bít ngẫu nhiên bất định Chế độ phản hồi đầu RFC Request for Comments Đề nghị duyệt thảo bình luận RSA Rivest - Shamir - Adleman SHA Secure Hash Algorithm Tên hệ mã ba nhà toán học Rivest, Shamir Adleman phát minh Thuật toán băm an tồn TDES TLS Triple Data Encryption Thuật tốn mã hóa liệu TripleAlgorithm DES Transport Layer Security Bảo mật tầng giao vận VPN Virtual Private Network Mạng riêng ảo 1.3.13 Giải thích tham số Chữ viết tắt Tên tiếng anh Tên tiếng việt AES Advanced Encryption Standard Tiêu chuẩn mã hóa tiên tiến CAST Carlisle Adams Tavares CFB Stafford Tên hệ mã ba nhà toán học phát minh Carlisle Adams Stafford Tavares Cipher Block Chaining Mode Chế độ hoạt động móc xích khối mã Cipher Feedback Mode Chế độ phản hồi mã CTR Counter Mode CTR_DRBG DSA Counter Deterministic Bộ tạo bít ngẫu nhiên tất định Random Bit Generator dựa đếm Diffie-Hellman Giao thức thỏa thuận khóa Diffie-Hellman Deterministic Random Bit Bộ tạo bít ngẫu nhiên tất định Generator Digital Signature Algorithm Thuật toán chữ ký số EC Elliptic Curve ECDSA Elliptic Curve Digital Thuật toán chữ ký số dựa Signature Algorithm đường cong Elliptic Russian National Standard Tiêu chuẩn Quốc gia Liên bang Nga Hash Deterministic Random Bộ tạo bít ngẫu nhiên tất định Bit Generator dựa hàm băm Hashed Message Mã xác thực thông báo dựa Authentication Code hàm băm CBC DH DRBG GOST Hash_DRBG HMAC - Chế độ đếm Đường cong Elliptic HMAC_DRBG HMAC Deterministic Bộ tạo bít ngẫu nhiên tất định Random Bit Generator dựa HMAC IKE Internet Key Exchange Giao thức trao đổi khóa Bộ tạo bit ngẫu nhiên tất định bậc hai đa biến OFB Multivariate Quadratic Deterministic Random Bit Generator Micali-Schnorr Deterministic Random Bit Generator National Institute of Standards and Technology Non-deterministic Random Bit Generator Output Feedback Mode PRF Pseudo Random Function Hàm giả ngẫu nhiên RFC Request for Comments Đề nghị duyệt thảo bình luận RSA Rivest - Shamir - Adleman SHA Secure Hash Algorithm Tên hệ mã ba nhà toán học Rivest, Shamir Adleman phát minh Thuật tốn băm an tồn SP Special Publication Ấn phẩm đặc biệt MQ_DRBG MS_DRBG NIST NRBG Bộ tạo bit ngẫu nhiên tất định Micali Schnorr Viện Tiêu chuẩn Kỹ thuật quốc gia Hoa Kỳ Bộ tạo bít ngẫu nhiên bất định Chế độ phản hồi đầu Tiêu chuẩn quốc gia Việt Nam TCVN TLS Triple Data Encryption Thuật tốn mã hóa liệu TripleAlgorithm DES Transport Layer Security Bảo mật tầng giao vận VPN Virtual Private Network TDES Mạng riêng ảo QUY ĐỊNH KỸ THUẬT 2.1 Yêu cầu kỹ thuật sản phẩm sử dụng công nghệ IPsec VPN 2.1.1 Yêu cầu sử dụng giao thức thuật toán mật mã - Sử dụng giao thức xác thực trao đổi khóa sau: STT Giao thức xác thực trao đổi khóa IKEv1 IKEv2 - Sử dụng thuật toán mã khối sau: STT Thuật toán mã khối AES TDEA Camellia CAST SEED GOST R 34.12-2015 - Sử dụng thuật toán ký số sau: STT Thuật toán ký số RSASSA-PSS DSA ECDSA GOST R34.10-2001 GOST R34.10-2012 - Sử dụng thuật tốn trao đổi khóa sau: STT Thuật tốn DH ECDH - Sử dụng thuật toán hàm băm sau: Thuật toán STT SHA-256, SHA-512/256, SHA3-256 SHA-384, SHA3-384 SHA-512, SHA3-512 - Sử dụng thuật tốn mã xác thực thơng báo sau: Thuật toán STT HMAC_SHA1_96 AES_XCBC_96 AES_CMAC_96 HMAC_SHA_256_128 HMAC_SHA_256 HMAC_SHA_384_192 HMAC_SHA_384 HMAC_SHA_512_256 HMAC_SHA_512 10 HMAC_SHA3_256_128 11 HMAC_SHA3_256 12 HMAC_SHA3_384_192 13 HMAC_SHA3_384 14 HMAC_SHA3_512_256 15 HMAC_SHA3_512 - Sử dụng thuật toán mật mã dùng hàm giả ngẫu nhiên (PRF) sau: Thuật toán STT AES128_XCBC AES128_CMAC HMAC_SHA1 HMAC_SHA_256 HMAC_SHA_384 HMAC_SHA_512 HMAC_SHA3_256 HMAC_SHA3_384 HMAC_SHA3_512 - Sử dụng tạo số ngẫu nhiên sau: STT Thuật toán Hash_DRBG HMAC_DRBG CTR_DRBG OFB_DRBG MS_DRBG MQ_DRBG XOR – NRBG Oversampling-NRBG Construction 2.1.2 Yêu cầu an toàn giao thức tham số mật mã - Yêu cầu thời gian sử dụng chế độ hoạt động giao thức xác thực trao đổi khóa sau: STT Xác thực trao đổi khóa Chế độ hoạt động Sử dụng đến năm 11 L = 2048, N = 256 2025 L ≥ 3072, N ≥ 256 2027 ECDSA n ≥ 256 2027 GOST R34.10-2001 q = 256 2027 GOST R34.10-2012 256 ≤ q ≤ 512 [FIPS PUB 186-4], [SP 800-131A] [RFC7091] Comment [Ma11]: ECDSA, DSA Comment [Ma12]: Khuyến nghị sử dụng khóa Comment [Ma13]: Thuật tốn GOST 2027 - u cầu an tồn tham số mật mã thuật tốn trao đổi khóa sau: STT Thuật toán DH ECDH Độ dài tham số theo bít Sử dụng đến năm L = 2048, N = 224 2025 L = 2048, N = 256 2025 L ≥ 3072, N ≥ 256 2027 n ≥ 256 Tham chiếu [SP 800-56A], [RFC2631] [SP 800-56A], 2027 [RFC6090] - Yêu cầu tham số khởi tạo khóa: STT Thuật tốn Độ dài tham số (bít)  p, q số nguyên tố sinh ngẫu nhiên RSA  Số mũ công khai e: 65,537 ≤ e <  p số nguyên tố, cho 2L-1