标准解读 | GM/T 0025-2023 《SSL VPN网关产品规范》解读

一、标准制定背景：为网络安全提供保障

SSL VPN安全网关是基于SSL/TLS协议实现远程安全接入的专用网络设备，为解决跨网络环境下的安全通信问题而设计。SSL VPN安全网关凭借其便捷性、安全性和灵活性的特点，为政府、金融、能源等关键信息基础设施领域提供数据加密传输、多因素身份认证和访问控制服务。在此背景下，2014年《SSL VPN网关产品规范》正式发布，并于2023年进行标准修订。

二、标准迭代升级：突出重点要求

相比2014年发布的标准，2023发布的新版标准在技术要求和测试方法等方面更加完善和细化。在密码算法要求方面，进一步明确了算法实现的正确性和安全性。在性能要求方面，增加了更多具体的性能指标和测试方法。在安全性要求方面，强化了对产品抗攻击性和安全防护能力的要求等，以适应不断变化的安全威胁和应用场景

本标准的发布为SSL VPN网关产品的研发提供了明确的标准和规范，有助于提高产品的质量和安全性，促进 SSL VPN 技术的健康发展。通过对 SSL VPN 网关产品的功能、硬件、软件、安全性和检测等方面提出要求，能够有效保障企业网络的安全，防止数据泄露和恶意攻击。要求 SSL VPN 网关产品支持商密算法，有助于推动商密算法在VPN领域的应用，提高我商密码技术的自主可控能力。

三、标准核心内容：四维检测构建技术框架

规范从功能、性能、安全管理、硬件四大维度建立检测体系，具体要求如下：

1、功能检测

• 对于工作模式检测，在客户端—服务端工作模式下，客户端应能通过服务端访问到受保护内网服务器。在网关—网关工作模式下，一个网关保护的客户主机应能访问到另一个网关保护的内网服务器。

• 对于随机数功能检测，检测结果应符合GM/T 0005《随机数检测规范》。

• 对于密钥交换检测、安全报文传输检测、身份鉴别检测、密钥更新检测，应按照GM/T 0024《SSL VPN技术规范》要求进行。

• 对于访问控制检测，从客户端访问服务端保护的内网服务器，应只能访问到授权的资源。

• 对于信息审计检测，用户通过访问后，系统应能对用户访问信息进行记录。

• 对于信息传递检测，用户通过SSL VPN访问HTTP应用时，应用系统可从HTTP请求信息中获取用户信息。

2、性能检测

• 对于最大并发用户数，在检测平台模拟多个客户端行为，与服务端建立TLCP会话，在这个会话上，从内网服务器下载512字节页面的数据，并在内网服务器上设置页面延迟，以保证在整个负载增加的过程中每一个会话均被保持且有数据通过，然后不断增加客户端并重复此过程，取负载稳定期的平均并发会话数作为测试的结果。

• 对于最大并发连接数，在检测平台模拟多个客户端行为，与服务端进行TLCP连接并保持，然后不断增加客户端，并重复此过程，知道无法建立并保持连接为止，取已经接入的TLCP连接数目为测试结果。

• 对于每秒新建连接数，在检测平台模拟多个客户端行为，并发与服务端建立TLCP会话，重复此过程一段时间，取每秒建立SSL会话数目的平均值作为测试结果。

• 对于吞吐率，在检测平台模拟多个客户端行为，与服务端建立TLCP会话，在这个会话上，从内网服务器下载1MB数据，重复以上步骤，直到每个用户成功下载20MB大小的数据。然后向内网服务器上传1MB数据，重复以上步骤，直到每个用户成功上传20MB大小的数据，取内网服务器收发数据的平均速率作为测试结果。

3、安全管理检测

密钥检测对密钥进行管理以确保密钥安全，在被测设备的管理界面上进行设备密钥的产生或导入、备份和恢复以及更新操作。

• 对于配置数据安全所有的配置数据应保证其在设备中的完整性、可靠性。应有管理界面对配置数据进行配置和管理，管理员进入管理界面应通过身份鉴别。

• 对于被检测设备的包括密钥在内的敏感安全参数进行生成、建立、输入、输出、存储和置零操作。

• 对于硬件安全，审查厂商提供的设计文档和厂商提交的产品安全性承诺，应符合相应产品规范要求。

• 对于软件安全，使用漏洞扫描工具探测系统的端口和服务，并审查厂商提供的设计文档和厂商提交的产品安全性承诺，应符合相应产品规范的要求。

• 对于客户端安全，SSL VPN网关的客户端产品应能通过数字签名等技术实现完整性的自校验功能。

• 对于管理员登录安全，系统管理员、安全管理员、系统审计员应具备各自的分权管理职责。管理员应能通过基于数字证书技术的身份鉴别，并通过加密通道对SSL VPN网关进行管理配置，管理员应能通过被授权的终端登录到SSL VPN网关进行相应的配置操作。

• 对于日志管理，要求可以查看并导出日志记录，日志格式应符合相关产品规范的要求。

• 对于管理员管理，用非法的身份或错误的口令登录，系统应拒绝。当连续重试次数到达系统设定的限制值时系统应锁定。用合法的身份和正确的口令登录，应能进入管理界面，进行相应的管理操作。

• 对于设备进行初始化操作或自检操作，结果应符合相应产品规范的要求。当系统有管理中心时，进行设备的注册、状态监控管理操作，对于异常操作（例如，中断网络连接或停止密码部件工作），被检测设备应发出告警。如被检测设备具备远程参数配置或远程监控功能，使用被检测设备提供的接口，对被检测设备进行参数查询、状态查询、远程控制和时间同步的操作。

4、硬件检测

对被检测设备的外部接口、密码部件、随机数发生器、其他硬件进行检查，检查结果应符合GM/T 0025《SSL VPN网关产品规范》。

四、应用与实践：筑牢智能网联汽车安全屏障

中汽研科技有限公司（简称“中汽研科技”）软件与信息安全测试研究部平台技术总监鲍越表示，在车联网通信架构中，SSL VPN作为远程安全接入的核心技术，为车载终端、云端平台及移动应用提供统一的身份认证、加密传输及访问控制能力。通过SSL VPN构建的安全隧道，可保障车联网环境下的实时数据（如车辆状态、导航信息）与敏感指令（如OTA升级、远程控制）的端到端加密传输，同时支持动态权限管理、终端环境检测及抗量子密码算法适配，满足车联网高移动性、多终端协同及低时延响应的安全需求。

中汽研科技下属中汽软测获得商用密码产品检测机构资质，可开展多项商用密码产品安全检测业务，目前正在积极布局SSL VPN网关检测能力。下一步，中汽研科技在商用密码领域将进一步深耕商用密码技术创新，全方位助力我国商用密码事业迈向新的高度。我们将持续聚焦于技术突破与应用拓展，积极探索汽车行业商用密码应用的新模式、新技术、新方法，不断拓宽密码技术在汽车领域的深度和广度，与行业各方携手共进，为我国汽车产业的高质量发展筑牢安全防线。

来源：中汽研科技