221.商用密码从业单位开展商用密码活动,应当符合该从业单位公开标准的技术要求,对此下列说法正确的是( )。

4582.在对数字证书进行分析时,发现用户的加密证书和签名证书虽然证书内容不同,但Key Usage均相同,这是一种正常情况。

4581.对SM2加密进行测试时,可以根据GB/T32918.4《信息安全技术 SM2椭圆曲线公钥密码算法 第四部分:公钥加密算法》,进行SM2密文的生成,比对生成的SM2 密文是否与被测试的SM2 密文一致,如果不一致,则说明使用的不是SM2加密算法。

4580.对SM2签名结果的正确性进行测试时,如果可以获取SM2私钥,那么可以根据GB/T32918.2《信息安全技术 SM2椭圆曲线公钥密码算法 第二部分:数字签名算法》,重新进行SM2签名生成,比对生成的SM2 签名是否与被测试的SM2 签名值一致,如果不一致,则说明使用的不是SM2算法。

4579.在密评实施过程中,由于无法获取密钥,因此除了密码杂凑算法的测试外,其他算法的正确性测试均无法开展。

4578.IPSec协议分析时主要是分析IPSec协议使用的密码算法信息,不需要对证书进行分析。

4577.如果证书相关的算法标识符合要求,则认为该证书是合规的。

4576.当测评工具接入信息系统条件不成熟时,应与被测单位协商,生成必要的离线数据。

4575.某信息系统编制了密码应用方案,且方案通过专家评估,方案中明确了不适用的“宜”的指标要求项,在密评时发现密码应用实施情况与方案中所描述的风险控制措施不一致,则这些指标要求项应纳入测评范围。

4574.某信息系统将登录用户口令进行加密后存储在数据库中,经核查所使用的密码算法为SHA-1,这种口令存储加密保护方式符合要求。

4573.在对某三级信息系统进行密评时,通过对应用系统分析核查,发现系统启用了TLS 1.1、TLS 1.2协议,则关于通用要求中的“密码技术合规性”测评单元可直接判定为符合。