邮件系统的国密算法合规全景：SM2/SM3/SM4/SM9 应用指南

摘要

随着信创替代工程向关键信息基础设施纵深推进，邮件系统作为党政机关与央国企日常通信的核心载体，其密码应用合规已从"加分项"转变为"准入门槛"。国家密码管理局发布的一系列 GM/T 标准与 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，共同构成了国产密码在邮件领域落地的完整技术框架 [7]。本文以 SM2、SM3、SM4、SM9 四种国密算法为主线，结合 GM/T 0028-2014 密码模块安全等级要求与密评联委会 FAQ 第三版的高风险项解读 [6][8]，系统梳理邮件传输加密、签名认证、完整性校验与端到端加密各环节的密码合规要点，为信创邮件系统建设提供可操作的参考依据。

一、国密密码标准体系概览

我国商用密码标准体系以 GM/T 0001-2012 至 GM/T 0006-2012 系列为基础框架，涵盖祖冲之序列密码（ZUC）、SM2 椭圆曲线公钥密码、SM3 密码杂凑、SM4 分组密码、随机性检测方法以及密码应用标识规范 [1][2][3]。该六项标准于 2012 年 3 月由国家密码管理局集中发布，标志着国密算法从实验室走向工程化部署的开端。

在此基础之上，后续标准持续扩展：SM9 标识密码算法由 GM/T 0044-2016 定义，填补了基于身份密码体制的国密空白 [5]；GM/T 0028-2014 为密码模块划分四个安全等级，构成密码产品检测认证的技术依据 [6]；GB/T 39786-2021 则从信息系统整体视角，规定了网络通信加密、数据存储加密、身份鉴别与密钥管理的密码应用要求，是当前密评工作的核心裁量标准 [7]。

从邮件系统的技术栈分析，四种国密算法分别承担不同的安全职能（见表 1）。

四种算法覆盖了邮件安全所需的全链路密码能力：从传输层的通道加密（SM4）到应用层的身份认证（SM2），从数据完整性校验（SM3）到端到端的零信任加密（SM9）。下文逐一分析各算法的技术特性与合规部署要点。

二、各算法详解与邮件场景应用

2.1 SM2：椭圆曲线公钥密码与身份认证

SM2 算法由 GM/T 0003-2012 定义，基于 256 位椭圆曲线，安全强度等效于 RSA-3072 [2]。其在邮件系统中的首要应用场景是 TLS 证书：邮件客户端与服务器之间、邮件服务器之间的传输层安全通道，均可采用 SM2 证书替换传统的 RSA/ECC 证书。对于等保三级及以上系统，GB/T 39786-2021 明确要求通信实体采用密码技术进行身份鉴别，SM2 数字签名机制即承担这一职能 [7]。

昆仑邮件系统支持在 SMTP/IMAP/POP3 以及 HTTPS WebMail 层面配置 SM2 国密 TLS 证书，证书由具备电子认证服务许可的 CA 机构签发，可与现有的国际算法证书在同一 Web 服务器上通过双证书机制共存，兼顾过渡期的兼容性需求。

此外，SM2 的数字签名功能可用于邮件正文签名（S/MIME 国密扩展），确保发件人身份不可否认。GM/T 0010-2012 规定了基于 SM2 的数字信封格式，为邮件加密与签名提供了封装标准。

2.2 SM3：密码杂凑与完整性保护

SM3 密码杂凑算法由国家密码管理局以 GM/T 0004-2012 首次发布，2016 年升格为国家标准 GB/T 32905-2016 [3][4]。SM3 输出 256 位摘要值，设计上采用 Merkle-Damgård 结构，压缩函数含消息扩展与 64 轮迭代压缩，能够有效抵抗长度扩展攻击与差分分析。

在邮件系统中，SM3 的核心应用包括三方面：其一，作为 DKIM（DomainKeys Identified Mail）签名的哈希算法，替代 SHA-256 对邮件头与正文计算摘要，防止邮件在传输过程中被篡改；其二，在密评的数据完整性层面，对邮件存储文件或数据库记录计算 SM3 校验值，满足 GB/T 39786-2021 对重要数据完整性保护的要求 [7]；其三，在 SM2/SM9 签名流程中作为配套哈希函数，构成国密签名方案的不可分割组件。

昆仑邮件系统对 SM3 的支持涵盖邮件头完整性签名与附件哈希校验两个关键路径，在 WebMail 界面中可展示邮件的 SM3 完整性校验结果，使终端用户能够直观确认邮件内容未经篡改。

2.3 SM4：分组对称密码与传输/存储加密

SM4 由 GM/T 0002-2012 定义，分组长度 128 位，密钥长度 128 位，采用 32 轮非线性迭代的 Feistel 结构 [1]。其设计充分考虑了软硬件实现效率，在国产 CPU（如飞腾、鲲鹏）上可通过硬件指令集加速。

在邮件场景中，SM4 的主要用途是替代国际算法 AES 承担传输加密与存储加密任务。传输加密层面：当邮件客户端与服务器协商 SM2 国密 TLS 连接后，对称加密算法协商结果应采用 SM4（而非 AES），以实现端到端国密信道 [7]。存储加密层面：邮件正文与附件在磁盘上的静态数据，可经 SM4 加密后落盘，防范物理介质丢失导致的数据泄露。密评 FAQ 第三版将"未使用经国家密码管理部门核准的密码算法"列为高风险项 [8]，因此直接使用 AES-256 而非 SM4 进行数据存储加密的系统在密评中将面临合规风险。

昆仑邮件系统在 SMTP 传输与数据存储两个维度均已集成 SM4 支持：管理员可通过管理后台将传输加密套件配置为 SM2-SM4-SM3 国密组合，邮件存储加密也可在安装部署阶段启用基于 SM4 的透明加密策略。

2.4 SM9：标识密码与端到端加密

SM9 由 GM/T 0044-2016 定义，属于标识密码（Identity-Based Cryptography, IBC）体系 [5]。其核心特点在于：用户公钥即用户标识符本身（如邮箱地址），无需通过证书颁发机构（CA）获取对方公钥，免除了传统 PKI 体系中的证书管理负担。这一特性使得 SM9 天然适合邮件端到端加密场景——发件人仅需知道收件人的邮箱地址即可完成加密，无需预先交换密钥或查询证书目录。

SM9 加密流程：密钥生成中心（KGC）生成系统主密钥对，并根据用户标识（邮箱地址）生成该用户的 SM9 私钥；发件人使用收件人的邮箱地址与系统公开参数对邮件加密，收件人使用自己的 SM9 私钥解密。整个流程无需在线密钥协商，支持异步通信模式。

在行业实践中，亿邮（Eyou）已在 2023 年发布的邮件系统中集成了 SM9 全生命周期加密能力，涵盖密钥生成、分发、加密、解密与密钥更新等环节，成为 SM9 在邮件领域规模部署的先行案例。昆仑邮件系统亦规划了 SM9 端到端加密模块，面向对邮件内容保密性有极高要求的政务与涉密场景，通过浏览器端 WebAssembly 实现 SM9 客户端加密，私钥不出用户终端。

三、密评合规要点

3.1 GB/T 39786-2021 核心要求

GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》是当前商用密码应用安全性评估（密评）的统一技术依据 [7]。该标准从四个层面规定密码应用要求：

• 物理和环境安全：对机房出入记录、视频监控数据等进行密码保护；
• 网络和通信安全：对通信实体进行身份鉴别，保护通信过程中数据的机密性与完整性；
• 设备和计算安全：对登录操作系统用户进行身份鉴别，对系统资源访问控制信息进行完整性保护；
• 应用和数据安全：对应用系统用户进行身份鉴别，对重要数据在传输与存储过程中的机密性与完整性进行保护。

对于邮件系统而言，"网络和通信安全"与"应用和数据安全"两个层面为核心关注领域。具体而言：邮件传输通道须采用国密算法（SM2/SM4/SM3）实现身份鉴别、通信加密与完整性校验；邮件存储数据须采用 SM4 加密、SM3 完整性保护；用户登录须基于 SM2 证书或 SM3 口令保护机制实现身份鉴别 [7]。

3.2 GM/T 0028-2014 密码模块安全等级

GM/T 0028-2014 将密码模块安全要求划分为四个等级，等级递增意味着防护能力增强 [6]：

• 安全一级：规定密码模块的基本安全要求，包括密码算法与安全功能规范，适用于受控物理环境；
• 安全二级：在一级基础上增加物理防篡改要求（如防拆封条或防撬锁），要求角色鉴别；
• 安全三级：要求探测与响应机制——当模块检测到物理攻击时，须立即清零密钥与敏感参数；
• 安全四级：对环境失效（温度、电压异常）具有检测与响应能力，提供最高级别的物理安全防护。

对于政务邮件系统，核心密码模块（如加密卡、服务器密码机）应满足安全二级及以上要求；涉及国家秘密的场景则须达到安全三级或四级 [6]。密评 FAQ 第三版明确指出，密码模块未通过检测认证或安全等级不达标，将构成密评不合格项 [8]。

3.3 密评高风险项说明

中国密码学会密评联委会于 2023 年 10 月发布的商用密码应用安全性评估 FAQ（第三版），对高风险判定标准给出了权威解释 [8]。与邮件系统直接相关的高风险项包括：

1. 未使用合规密码算法：系统中任何环节直接使用 AES、RSA、SHA-256 等国际算法而未部署国密替代方案，均被判定为高风险；
2. 密钥未在全生命周期内受保护：密钥生成、分发、存储、使用、更新、销毁任一环节管控缺失；
3. 身份鉴别未采用密码技术：用户登录仅依赖非密码手段（如纯口令无 SM3 加固），不符合 GB/T 39786-2021 要求；
4. 通信数据未进行机密性与完整性保护：邮件传输通道未启用国密 TLS 或等效加密措施。

上述高风险项在密评中具有"一票否决"效力——任一高风险项未通过，密评即判定为不合格 [8]。邮件系统建设单位应在方案设计阶段即对标上述要求，避免后期整改引入架构性变更。

四、邮件系统国密合规实践建议

4.1 分阶段部署策略

国密全栈合规是一项系统工程，建议分三个阶段推进：

第一阶段（基础合规）：完成 TLS 层面的国密改造。配置 SM2 国密 SSL/TLS 证书，将 SMTP/IMAP/POP3/HTTPS 各协议链路的加密套件切换为 SM2-SM4-SM3 组合。此阶段可快速满足密评中"网络和通信安全"层面的基本要求。昆仑邮件系统提供图形化配置界面，管理员导入 SM2 证书后在"加密与安全"面板中选择"国密优先"策略即可完成切换。

第二阶段（深度防护）：实施邮件存储加密与完整性保护。启用 SM4 邮件落盘加密，对邮件索引、附件仓库、用户目录数据库分别配置 SM3 完整性校验规则。本阶段覆盖密评中"应用和数据安全"层面的核心要求 [7]。

第三阶段（端到端加密）：针对高密级场景，部署 SM9 标识密码实现端到端邮件加密。发件人无需预知收件人证书，仅以邮箱地址作为公钥参数完成加密 [5]。私钥由企业内部 KGC 签发，确保密钥主权不旁落。此阶段是邮件密码安全的最终目标形态。

4.2 密码模块选型建议

密码模块的合规选型直接影响密评通过率：

• 服务器密码机：用于 SM2/SM4 密钥管理与加解密运算，应具备国家密码管理局颁发的商用密码产品认证证书，安全等级不低于二级 [6]；
• SSL VPN 网关 / 国密 TLS 网关：负责邮件传输通道国密加密，应支持 SM2 证书与 SM4 对称加密套件；
• 签名验签服务器：用于邮件数字签名与 DKIM 签名的批量处理，SM2/SM3 双算法支持为基本要求。

昆仑邮件系统支持与上述密码模块的标准接口对接（SDF/SKF 密码设备接口），实现邮件系统软件与密码硬件的解耦集成。

4.3 持续合规运维

国密合规并非一次性项目，而应纳入持续运维体系：

• 证书生命周期管理：SM2 证书有效期到期前 30 天自动告警，避免因证书过期导致邮件服务中断；
• 加密算法基线维护：关注国家密码管理局发布的密码算法强度更新公告，及时调整系统加密套件配置；
• 定期自查：每季度对照密评 FAQ 最新版本的自查清单进行合规差距分析 [8]；
• 安全事件审计：记录所有密码操作日志（密钥生成、证书签发、加密会话建立），审计日志以 SM3 进行完整性保护，满足密评关于安全审计数据完整性的要求。