依托独立第三方运营与国产密码算法，构建金融行业全链路安全可信体系

专家支持：左小军 | 中金金融认证中心有限公司（CFCA）产品中心专家

应对基础密钥授权依赖与行业标准缺失挑战

在当前数字身份与服务器安全启动环节，国内基础IT基础设施面临显著的底层信任根受限困境。建立具备自主公信力的安全启动体系，是打破技术壁垒、保障金融与重点行业系统安全的核心目标：

• 基础安全密钥面临底层限制： 国内绝大部分服务器与个人电脑（涵盖Windows、Linux及国产OS）在安全启动环节，高度依赖国际厂商的证书签名。国际厂商公钥证书作为服务器根密钥的事实标准，导致国内OS及硬件厂商的签名平台和密钥生成算法受制于外部生态主导。
• 行业安全启动缺乏统一规范： 不同服务器生产厂家及操作系统发行商采用各自独立的安全启动证书与签名服务。国家层面及重点行业内尚未形成统一的安全启动证书标准。
• 代码合规与运营服务存在断层： 安全启动模块缺乏配套的代码安全规范及扫描工具，自身存在潜在安全漏洞；同时，国内市场长期缺乏对外提供安全启动证书及签名技术产品的独立运营服务，导致生态厂商无法实现规模化推广。

主导制定国家安全启动标准与自主签名体系

CFCA作为具备运营资质的独立第三方机构，依托庞大的证书发放量优势与第三方作证级（电子签名法）的权威定位，通过聚合核验源与自有数据，构建了基于国产密码算法的安全启动基础设施。

牵头确立行业核心规范：

在工信部信创工委会的组织下，CFCA作为WG35“安全启动签名组”组长，牵头制定了四项填补行业空白的核心标准：

• 代码安全规范： 约束代码一致性、可维护性、安全编译选项及证书算法安全要求。
• 代码审计规范： 确立C语言在UEFI软件编程中的规范要求与编译选项约束。
• 代码签名规范： 定义电子工业领域系统安全启动中的功能、安全与接口要求。
• 代码签名运营规范： 明确安全启动代码签名运营平台的通用要求、管理保障与运营安全标准。

重构安全启动信任链：

改变过去由国际或服务器厂商主导的单向签名生态，由CFCA提供国内独立第三方运营的签名服务平台，向下兼容服务器厂商的CPU/BIOS验签（CPU根），向上保障OS发行商/板卡厂商的SHIM/OS镜像签名，实现中国市场特色的高质量签名体系。

达成跨架构系统兼容与全流程国产化验证

CFCA签名的安全启动方案在实际项目系统中已完成深度应用验证，在保持极高系统兼容性的同时，实现了关键业务指标的自主可控：

• 系统无缝兼容，降低适配成本： 支持现有安全启动流程及国际RSA算法。BIOS和OS无需进行底层适配，通过导入RSA证书并对OS重新签名即可直接使用，大幅降低系统迁移与运维成本。
• 全链路国产化覆盖： 实现了“服务器 + BIOS + OS + 国密算法SM2”的全流程国产自主可控。

核心环境量化验证结论：

• 场景一（纯国产化链路）： 基于 ARM 架构，采用 国密SM2 签名算法，配合 昆仑（适配修改） BIOS 与 openEuler 操作系统，安全启动校验 通过。
• 场景二（国际算法兼容）： 基于 ARM 架构，采用 国际RSA 签名算法，配合 昆仑（未修改） BIOS 与 openEuler 操作系统，安全启动校验 通过。
• 场景三（X86架构兼容）： 基于 X86 架构，采用 国际RSA 签名算法，配合 百敖（未修改） BIOS 与 openEuler 操作系统，安全启动校验 通过。

融合泛终端海量运营经验筑牢金融业务防线

为进一步提升金融行业的整体安全水位，CFCA与腾讯安全达成深度业务融合。借助腾讯公司 26年 的互联网安全实践以及 10亿级 用户的海量业务运营经验，双方在两大核心场景构建了确定性的技术防线：

• 强化供应链软件准入与审计： 围绕软件准入、开源治理、软件依赖、漏洞管理、版本管理、来源管理及威胁情报共7个维度，实现软件全生命周期的风险阻断。
• 拓宽泛终端移动应用安全边界： 针对APP（安卓、iOS、鸿蒙）及腾讯自有生态（微信小程序、公众号），提供包含兼容性测试、应用性能测试、仿冒监测排查、应用加固及异常上报运营统计在内的闭环安全服务，确保金融级数字身份在复杂移动环境下的高可靠运行。