2026-07-19 05:02:47 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文详细拆解商用密码产品认证的五步流程（认证委托、型式试验、初始工厂检查、认证评价与决定、获证后监督），指出文档审查、物理安全测试、侧信道测试和源码审查是高风险环节，强调安全等级申报和文档结构化的关键性，建议产品研发阶段即纳入认证排期并关注GM/T0039-2024标准更新。 综合评分： 88 文章分类： 安全建设,技术标准,解决方案,安全运营,政策法规

cover_image

为什么很多密码产品认证要整改好几轮？五步流程背后，你不知道的那些坑

利刃信安

2026年7月17日 10:30 北京

在小说阅读器读本章

去阅读

编者荐语：

转载文章，适合收藏！

以下文章来源于密安护航，作者密安护航

密安护航 .

专注商用密码产品检测与密评政策解读 / 技术方案 / 实战经验让密码合规不再焦虑

上一期，我们逐项拆解了GM/T 0028——密码模块安全的”体检标准”。读完之后，不少读者私信问：“标准我看懂了，但检测机构到底怎么测？送检前我要做什么准备？整个流程要多久？”

这篇专门回答这些问题。但我要先说一句实话：认证全流程看似只有五步，但每一步背后都有”隐形门槛”——踩中了，没什么感觉；踩错了，轻则整改耽误几个月，重则关键节点前拿不到证。

下面把这五步都拆开来看，你对照自己的产品，看看哪里有风险。

📌 关注「密安护航」，拆解商用密码认证的标准、流程与实战——文章讲通用方法，你的产品具体情况，加微信细聊

一、先理清两个标准：0028 定规则，0039 定方法

在正式拆解认证流程之前，必须先搞清楚GM/T 0028 和 GM/T 0039 的各自分工：

| | | | | — | — | — | | 对比维度 | GM/T 0028 | GM/T 0039 | | 全称 | 密码模块安全技术要求 | 密码模块安全检测要求 | | 定位 | 安全要求标准——回答”该做到什么” | 检测方法标准——回答”怎么验证做到了” | | 核心使用者 | 产品研发团队、安全设计人员 | 送检文档编写人员、审核人员 | | 现行版本 | GM/T 0028-2024（2025年7月实施） | GM/T 0039-2024（替代2015版） | | 篇幅 | 约60页 | 约107页（2015版） | | 关系 | 0039 的检测项全部基于 0028 的安全域 | 0039 被 0028 引用，是配套检测方法 |

简单说：送检之前对照 0028 自查，送检之后 0039 说了算。0039 比 0028 厚了近一倍，因为它不仅规定了”测什么”，还规定了每项检测的具体操作步骤、判定准则和要求的送检文档清单——很多产品在拿到这份清单之前，完全不知道自己缺哪些材料。

⚠ 重要更新：GM/T 0039-2024 已于2024年12月发布，替代2015版。如果你的产品正在研发中，参考旧版文档结构可能会踩坑——部分检测项和判定逻辑已经调整。

二、0039 如何逐域覆盖 0028 的 11 个安全域

GM/T 0039 对 0028 的每个安全域都定义了具体的检测方法，大部分检测方法可分为三大类：

你会发现：11个域中，“文档审查”占了8个。这意味着——你写的文档，比你写的代码更先被审。很多技术团队花几个月优化算法实现，结果因为送检文档不规范，在第一轮文档审查就被打回来。

更关键的是：文档不是格式对就行，核心是”声明的安全功能”必须和你的产品实际吻合。如何在文档中准确界定密码边界、如何描述各安全域的防护措施，是很多厂商卡壳最久的地方。

🔔 不清楚你的产品文档差在哪里？加微信聊聊，帮你理一理——微信号见文末

三、认证全流程：五步走，一步都不能跳

商用密码产品认证采用“型式试验 + 初始工厂检查 + 获证后监督”组合模式。完整的认证流程包含五个环节，下面逐个拆解每步的具体操作和时限：

第一步：认证委托

你要做什么：

流程如何推进：

委托资料提交后，一般在15个工作日内完成资料的形式化审核。

⚠ 第一关就是文档——不是简历式的自我介绍，而是结构性声明文件。密码边界定义不清、安全功能声明与产品实际存在偏差，是第一轮被打回来的主要原因。很多厂商不是技术不达标，而是材料组织方式不对——审核流程中需要关注的信息点，在你的文档里找不到。

第二步：型式试验

这是整个认证流程中耗时最长、技术难度最大、不确定性最高的环节。产品将接受对照 GM/T 0039 检测方法的逐项验证，确认是否达到申报的安全等级。

型式试验的难点不在于”检测项很多”，而在于它是对产品安全能力的系统性验证——安全等级申报越高，检测深度越深，对实现细节的要求越严格。

型式试验的三个子阶段：

检测执行的具体顺序：

检测完成后：一般在5个工作日内出具型式试验报告。报告内容涵盖所有检测项的结果、判定依据和总体结论。

⚠ 这四个环节最容易出问题：

每一个”高风险环节”背后，不同的产品类型对应不同的问题根源。很多厂商是第一次经历检测，不知道要提前关注什么，在哪个环节容易卡住——往往是拿到报告之后，才发现有些问题如果在研发阶段就注意到，完全可以避免。你现在处于哪个阶段？加微信告诉我你的产品类型和进度，我帮你看看哪些环节需要重点关注。

第三步：初始工厂检查

型式试验通过后，会安排专业人员到生产企业实地检查。这不是走形式——检查将依据GM/T 0065《商用密码产品生产和保障能力建设规范》和GM/T 0066《商用密码产品生产和保障能力建设实施指南》，对生产全流程进行审核。

关键数据：一般每个场所检查数个工作日（根据认证单元数量和工厂规模确定）。

⚠ 工厂检查的核心逻辑：检查你量产出来的产品，跟送检样品是不是同一回事。这个逻辑听起来简单，但”生产一致性”的要求落到操作层面，涉及生产环境、版本控制、密钥注入流程等很多细节——大部分软件厂商对这块的准备是明显欠缺的。

第四步：认证评价与决定

完成型式试验报告和工厂检查报告后，进入综合评估阶段——对全部资料进行评价，作出认证决定。

证书有效期5年，这期间并不是”拿到证就万事大吉”——接下来还有持续的监督。

第五步：获证后监督

证书有效期内，获证产品和生产企业需接受持续监督，确保产品不会”拿证后偷工减料”。

📣 工厂检查需要提前准备什么？不同产品类型侧重点差异很大，加微信聊聊你的产品——微信号见文末

四、全流程时间预估

认证流程涉及的时间节点，规则层面有基本时限要求，但实际周期受多重因素影响，包括：产品安全等级申报、文档准备完整度、整改轮次、排期情况等。下面给出流程的结构性参考：

⚠ 关键提醒：型式试验是整个认证中不确定性最高的环节。产品安全等级定几级、文档准备成熟度如何——这两个变量组合起来，实际周期差距可以达到数倍。如果你的产品有明确的上线节点，认证排期应该在产品规划阶段就纳入考虑，而不是等研发完成再启动。排期吃不准？加微信，根据你的产品帮你理一下时间线。

五、送检前，有几件事大多数人没想到

| | | | | — | — | — | | # | 容易忽视的点 | 为什么很多人没想到 | | 1 | 安全等级申报决定一切 | 申报等级高了，对应的检测项深度、文档要求、硬件要求都会变。等级不是越高越好，选错了整改成本翻倍 | | 2 | 文档不是技术文档 | 送检文档的写法有特定结构要求，技术团队用习惯的方式写往往不符合评审要求 | | 3 | 获证后才是长期维护的开始 | 监督期内的突击检查、产品变更报备、证书续期——很多企业拿到证之后才意识到后续维护同样需要专业支持 |

这三件事背后的操作细节——如何确定等级、文档如何结构化、变更报备的边界在哪里——每家企业的产品情况不同，很难一篇文章一刀切地回答。欢迎关注「密安护航」后续推送，我们会针对不同产品类型逐一展开讨论。如果有具体问题，也可以直接加我微信交流。

写在最后

这篇文章把五个流程步骤都拆开来讲了，但有一件事我刻意没写——每个步骤的”过审标准”到底是什么，整改的边界在哪里。不是不想写，而是这些判断必须结合具体产品类型、安全等级申报和当前进度才有意义，通用性描述容易误导你。

说一个更实际的问题：现在正在规划2026年内上市的产品，认证的启动窗口有多紧张？如果你的产品属于硬件密码设备，型式试验周期本身就有相当大的不确定性。把认证排到最后，上市节点被卡的风险比你想象的大得多。

下一篇，我们进入实战：IPSec VPN 网关产品认证中最常遇到的 10 个翻车点——每个坑的形成原因、造成的代价、以及应对方向，一次讲透。

📣 关注「密安护航」，下期认证翻车实录——看完你会明白，很多坑研发阶段就能避开。你的产品现在处于哪个阶段？加微信帮你对一对

添加微信，聊聊你的产品

告诉我你的产品类型和当前进度，帮你理一理现在需要关注哪些环节

扫码添加微信

电话：15650031708（微信同号）

也欢迎关注「密安护航」公众号，更多标准解读、流程拆解、实战复盘持续更新——读完有疑问，上面微信随时聊

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：利刃信安《为什么很多密码产品认证要整改好几轮？五步流程背后，你不知道的那些坑》