密评用户身份鉴别的落地核心，是把“密码技术真实参与鉴别过程”这件事做实，而不是简单堆一个验证码或指纹模块，评估看的是身份标识唯一性、鉴别信息机密性/完整性、防重放这三条能不能用国密算法和密码产品证明。
密评用户身份鉴别怎么做：先理清评估到底查什么
很多单位在密评整改时容易陷入一个误区：把登录页面加了短信验证码、改了密码复杂度，就以为身份鉴别项能过，实际上密评关注的是“有没有用密码技术”，而不是“有没有增加验证环节”,这一模块需要回到标准原文理解控制点。
身份鉴别项通常包含三个子要求
- 身份标识唯一性：用户ID生成、存储和管理过程中，是否调用密码技术保证唯一、不可伪造，比如证书中的Subject唯一标识用户,而不是仅靠自增数据库ID。
- 鉴别信息保护：口令、证书私钥、动态码在传输和存储时，是否采用SM2/SM4/SM3保护机密性和完整性,明文口令传输或MD5存储基本一票否决。
- 防重放与防假冒：登录请求是否带随机数、时间戳，并由密码模块签名或加密,防止截获后重放。
举个例子，某政务系统登录时虽然接入了UKey，但UKey只用来存证书，后端验证仍然走用户名密码，证书根本不参与签名，这种“表面双因素”在密评中会被判定为不符合,因为密码技术没有实际作用于鉴别过程。
评估人员通常会看哪些证据
- 身份鉴别流程描述文档,标出密码算法在哪一步介入。
- 商用密码产品认证证书，比如智能密码钥匙、动态令牌、服务器密码机。
- 实际配置截图或日志，证明SM2签名验签被调用,而非只买了设备闲置。
把这三类证据准备好，至少能避免“做了却说不清”的扣分。
密评身份鉴别和等保身份鉴别区别：别把两个体系混为一谈
等保看“有没有”，密评看“用没用国密”
等保2.0对身份鉴别的要求偏向安全功能：双因素认证、登录失败锁定、口令复杂度，密评则进一步要求这些安全功能背后的密码技术是否合规、是否使用国密算法，两者不是替代关系,而是叠加关系。
| 对比维度 | 等保身份鉴别 | 密评身份鉴别 |
|---|---|---|
| 关注点 | 鉴别机制是否存在并有效 | 密码技术是否真实应用 |
| 常见实现 | 双因素、生物特征、动态码 | SM2证书、SM3哈希、SM4加密 |
| 算法要求 | 无强制国密 | 强制采用国密算法 |
| 证据形态 | 策略配置、登录日志 | 密码产品证书、签名验签日志 |
一个系统过了等保三级，密评身份鉴别仍可能不通过，原因很简单：等保允许用国际算法，比如RSA证书、SHA-256，而密评要求替换为SM2、SM3，这就解释了为什么有些单位买了国密改造项目,却还是被密评机构打回。
政务系统密评身份鉴别整改实操路径
先盘点身份入口，再定改造优先级
政务系统往往包含统一身份认证平台、OA、邮件、行政审批等多个子系统，整改不能一上来就全部推翻，建议从“暴露面最大、用户类型最复杂”的入口开始。
- 统一身份认证平台：接入智能密码钥匙或协同签名,登录后签发基于SM2的认证凭据。
- 运维通道：堡垒机启用国密SSL隧道,运维人员使用国密UKey完成身份鉴别后再连接服务器。
- 对外服务门户：个人用户用手机App时，优先采用协同签名方案,避免给群众发硬件UKey。
具体落地步骤与配置参考
- 替换国密证书：将业务系统前端的HTTPS证书从RSA更换为SM2证书，以Nginx为例，配置文件中指定
ssl_certificate为SM2证书文件，ssl_certificate_key为对应私钥,并启用支持国密套件的模块。 - 改造登录接口：登录时后端生成随机数，前端调用UKey对随机数、时间戳、用户标识拼接后的数据做SM2签名，后端调用服务器密码机验签,验签通过才放行。
- 口令存储改造：数据库中不再保存明文口令，改为SM3加盐哈希，盐值由密码模块生成,长度至少16字节。
- 配置防重放参数：在认证请求中加入
nonce和timestamp，后端校验时间窗口（比如5分钟内有效），并将nonce写入缓存防止复用。 - 留存密码调用日志：日志中记录验签结果、证书序列号、算法标识,评估时可以直接导出作为证据。
选择密码产品的几个判断
- 用户规模在几百人以内、以PC端登录为主，用智能密码钥匙（UKey）性价比高。
- 用户量几万以上、以移动端为主，用协同签名或移动端密码模块更合适。
- 需要集中管理验签能力时，部署签名验签服务器或服务器密码机,统一提供API。
银行密评身份鉴别落地案例：柜面与移动端怎么改
柜面终端改造
银行网点柜员登录核心系统，通常存在用户名密码加动态令牌，密评整改时，把动态令牌升级为支持国密SM2的智能密码钥匙，或在柜面终端安装密码模块，实现柜员身份与数字证书绑定，每次签到调用SM2签名,后端验签后再授权交易。
手机银行App改造
手机银行App不适合硬件UKey，采用协同签名，用户手机端生成密钥分量，服务端保留另一分量，登录时两方协同完成SM2签名，这样做既满足密评要求,又不用给大量移动端用户发实体Key。
自助设备身份鉴别
ATM/STM等自助设备也属于密评范围，改造重点在设备证书和后台通信，设备出厂时写入国密证书，与后台建立国密SSL通道,运维人员维护设备时使用国密UKey进行身份鉴别。
密评双因素认证费用多少：预算怎么算才不踩坑
影响费用的主要变量
密评双因素认证改造没有统一报价，因为涉及产品、用户数、集成工作量三个变量，不同地区、不同集成商报价差异较大,但成本结构大致固定。
- 密码产品采购：UKey、动态令牌、服务器密码机、国密SSL证书等。
- 用户授权数量：UKey按把计费,协同签名按用户数或并发授权。
- 应用改造费用：登录接口调密码模块、证书适配、系统联调,这部分经常超过硬件本身。
不同规模场景的预算思路
- 小规模单系统：只改造一个后台管理系统，几十个用户，采购少量UKey加一台签名验签服务器即可,总体投入可控。
- 中等政务云：统一身份认证加多个业务系统，需要国密SSL网关、服务器密码机集群、统一认证平台改造,费用明显上浮。
-
大型银行或集团：按网点、柜面终端、移动端App多头推进，通常分期建设,优先覆盖高风险场景。
做预算时建议先让密评咨询机构出差距分析报告，明确需要哪些产品、多少授权,再向两家以上密码厂商询价。
密评身份鉴别不通过怎么办：先定位扣分点再补证据
常见扣分三种情况
- 口令传输未加密：登录接口仍走HTTP，或使用国际算法SSL，整改方式：切换到国密SSL。
- 证书未参与签名：有UKey但只做存证，后端不验签，整改方式：改造登录流程,强制调用签名接口。
- 算法标识不明确：系统用了国密但配置截图无法证明，整改方式：导出证书信息、抓包记录或日志，证明SM2/SM3实际参与。
整改后的自测方法
可以用gmssl命令行查看证书算法，执行gmssl x509 -in cert.pem -text -noout，如果公钥算法一栏显示id-ecPublicKey且参数为sm2p256v1，说明证书算法正确，再抓取登录包查看是否出现SM2签名值或国密套件，自测通过后再提交复评,通过率会高不少。
政务系统密评身份鉴别整改没有捷径，核心是把每个登录环节的密码调用做实，密码产品可以买，但调用和证据必须真实存在，评估人员看的是流程和日志，不是包装。
Q&A
密评用户身份鉴别需要哪些密码产品？
常见组合包括智能密码钥匙、动态令牌、服务器密码机、签名验签服务器、国密SSL证书，具体选哪种取决于用户类型和系统架构：PC端多用UKey，移动端多用协同签名,集中验签用服务器密码机。
密评身份鉴别和双因子认证是一回事吗？
不是一回事，双因子认证是安全机制，密评身份鉴别是合规要求，密评要求双因子或多因子里必须有密码技术参与，并且算法要采用国密SM系列,普通的短信验证码加静态密码不算密评认可的密码技术身份鉴别。
密评用户身份鉴别整改周期一般多久？
多数单系统改造在两周到一个月内可以完成，涉及统一身份认证平台或多个业务系统时，周期通常延长到两到三个月，整改周期主要取决于登录接口改造量和密码产品采购到货时间，应用系统越老、越封闭,集成工作量越大。