等保/密评需要什么样的SSL证书？

在网络安全等级保护（等保）和密码应用安全性评估（密评）中，等保/密评SSL证书的选择需严格遵循国家法规和标准要求，确保加密强度、算法合规性和管理规范性。以下是具体要求及选型建议：

一、等保/密评对SSL证书的核心要求

1. 证书类型与验证等级

等保要求：根据信息系统等级保护级别（如二级、三级），通常要求使用OV（组织验证）或EV（扩展验证）证书，以验证域名所有权及企业真实身份，避免使用仅验证域名的DV证书。

密评要求：需通过密码管理部门认证的合规机构签发证书，确保证书签发流程符合《电子认证服务管理办法》等规范。

2. 加密算法与密钥长度

国际算法：需支持RSA（≥2048位）或ECC（≥256位）算法，禁用已淘汰的1024位RSA或MD5签名。

国密算法：密评要求优先使用SM2/SM3/SM4国密算法，需选择支持国密双证书（SM2+RSA）的SSL证书，以满足“自主可控”要求。

3. 证书链完整性

证书需包含完整的信任链（根证书+中间证书+终端实体证书），避免因证书链断裂导致浏览器警告或评估扣分。

4. 有效期与吊销机制

有效期：证书有效期需符合《密码法》要求，通常不超过1年，避免长期证书带来的安全风险。

吊销检查：必须支持OCSP或CRL在线吊销查询，确保证书吊销状态可实时验证。

5. 签名算法

需使用SHA-256及以上安全哈希算法，禁用SHA-1等弱签名算法。

二、等保/密评场景下的SSL证书选型建议

1. 政务/金融/关键信息基础设施

国密SSL证书：选择支持SM2算法的国密证书（如CFCA、GDCA等机构签发），满足密评对国密算法的强制要求。

双算法部署：同时部署国密（SM2）和国际（RSA）证书，通过SSL协议自动协商算法，兼顾合规与兼容性。

2. 普通企业信息系统（等保二级/三级）

国际算法证书：选择OV或EV证书，优先采用ECC算法（如P-256、P-384），兼顾加密强度与性能。

合规性验证：确保证书签发机构通过密码管理局认证，避免使用未备案的境外CA机构证书。

3. 云服务/SaaS平台

通配符证书：若需保护多子域名，可选择支持国密算法的通配符证书，简化管理并降低成本。

自动化管理：集成ACME协议或云服务商证书管理工具，实现证书自动续期与部署。

等保/密评专用证书申请 填写注册码230939获得一对一技术支持

三、风险规避与最佳实践

避免混合使用算法：同一域名不要同时使用国密和国际证书，可能导致协议协商失败。

定期轮换私钥：每年更换证书时同步更新私钥，降低密钥泄露风险。

兼容性测试：部署前在主流浏览器（Chrome、Firefox、360安全浏览器等）测试证书兼容性，尤其是国密证书需确保客户端支持。

日志审计：启用SSL/TLS握手日志，监控证书使用情况。

四、总结：等保/密评证书选型逻辑

建议：

立即核查现有等保SSL证书是否符合等保/密评要求，选择通过国家密码管理局认证的CA机构（如CFCA、JoySSLCA），并部署支持国密算法的SSL证书，确保在2025年密评中合规达标。对于关键业务系统，建议采用双算法证书以平衡合规与全球兼容性需求。