面试题答案
一键面试加密算法选择差异
- 国际标准：广泛采用国际认可的加密算法，如RSA、椭圆曲线密码学（ECC）系列算法（如secp256r1等）。这些算法在全球范围内经过长时间验证，具有良好的安全性和兼容性，适用于国际间的金融数据交互场景。
- 国内标准：除了部分国际通用算法，还大力推广国密算法，如SM2（椭圆曲线公钥密码算法）、SM3（哈希算法）、SM4（分组密码算法）等。国密算法由我国自主设计，更贴合国内安全需求，在国内金融领域强制或优先使用以确保自主可控的安全体系。
证书信任链构建差异
- 国际标准：信任链基于国际知名的证书颁发机构（CA），如VeriSign、Comodo等，这些CA在全球范围内被广泛认可，构建的信任链适用于全球互联网访问。其信任体系依赖国际通用的根证书库，不同操作系统和浏览器默认信任这些国际CA的根证书。
- 国内标准：除了兼容部分国际CA外，国内建立了自己的CA体系，如中国金融认证中心（CFCA）等。国内金融场景下，更强调使用国内CA颁发的证书，其信任链基于国内权威机构的根证书，并且在国内金融系统相关的操作系统、浏览器等环境中，会预置国内CA的根证书以确保信任。
系统设计建议
- 加密算法选择策略
- 兼容性设计：系统应具备支持多种加密算法的能力，在国际业务交互或与国际合作伙伴对接时，使用国际标准加密算法；在国内业务场景，优先采用国密算法。例如，在对外接口服务中，可配置根据请求来源（国内或国外）自动选择合适的加密算法进行数据传输加密。
- 算法升级与更新：无论是国际标准算法还是国密算法，都要关注算法的安全性更新。对于国际算法，跟踪国际密码学研究进展，及时更新到更安全的版本；对于国密算法，依据国内相关部门发布的标准和规范进行升级。
- 证书信任链管理
- 多信任链支持：系统要能够同时管理国际和国内证书信任链。在证书验证模块，根据证书颁发机构的不同，分别依据国际信任链和国内信任链进行验证。例如，在服务器端配置两个证书信任库，一个用于国际CA证书验证，另一个用于国内CA证书验证。
- 定期更新根证书：无论是国际还是国内的根证书库，都要定期更新，以应对新出现的安全威胁和CA机构的变化。可设置自动更新机制，定期从权威渠道获取最新的根证书并更新到系统中。
- 合规性保障
- 法规遵循：密切关注国内金融行业关于数据安全和加密的法规政策，确保在国内业务场景下严格使用国密算法和国内CA证书。对于国际业务，也要遵循相关国际标准和法规，如PCI - DSS等对数据安全传输的要求。
- 审计与日志：建立完善的审计和日志系统，记录所有与SSL证书使用、加密算法选择相关的操作。以便在合规检查时，能够提供清晰的证据证明系统在安全性与合规性方面的遵循情况。