密码开源生态概述
密码开源是指对密码类安全软件源代码进行公开发行，允许用户查看、使用、修改和分发。密码开源生态围绕开源密码库和开源密码软件展开，涉及密码标准、实现、接口和应用等多个层次，以及使用者、贡献者和运营者等多个角色。
密码开源生态架构
密码开源生态架构包括密码标准层、密码实现层、密码接口层、密码应用层和生态参与方。密码标准层定义密码算法，实现层将算法转化为组件或工具库，接口层提供统一调用接口，应用层基于密码算法库开发功能软件，生态参与方包括使用者、贡献者和运营者。
密码开源生态发展特点
- 开源密码库日趋丰富：开源密码库经历了起源、成长、多样化和创新探索阶段，代表项目包括OpenSSL、BouncyCastle、mbedTLS等。
- 密码应用软件产品日趋增多：纯软件类型的密码应用产品在获得安全级别认证的软硬件安全产品中所占比例不断增长。
- 密码应用供给模式的变化：从传统外挂式密码供给模式向内生密码供给模式转变，内生密码供给模式具备内生、分布式、敏捷、轻量化特点。
构建密码开源生态的意义
构建密码开源生态可以促进技术创新、提高安全性、降低开发成本、促进产业生态繁荣、促进人才培养、提升国际竞争力，对密码强国、数字中国建设具有重要意义。
密码开源生态发展现状
密码开源相关政策
我国开源政策逐步完善，推动开源生态建设并规范开源技术应用与发展。顶层规划、行业规划和应用规范等方面均对密码开源提供政策支持。
典型密码开源项目
- 密码开源项目分类：包括密码应用、密码工具箱、算法库、数据/文件加密、区块链/加密货币、密码库测试/攻击、同态加密、SSH等。
- 典型开源密码库：国外包括OpenSSL、BouncyCastle、mbedTLS、wolfSSL、Libgcrypt等；国内包括Tongsuo、GmSSL、TASSL、openHiTLS、Kona等。
- 典型开源密码软件：包括密钥管理（Strongbox、MinTOTP、Ockam）、证书管理（PKI.js、Jsrsasign、Forge）、多方计算（fhe-toolkit-linux、FullyHomomorphicEncryption、Sodium）、隐私计算（RISCZero、Vuvuzela）、区块链/加密货币（Monero、Mimblewimble、Grin）等。
密码开源商业模式
主流模式包括专业服务、双重许可、托管服务、开源核心功能、市场平台、软硬件集成、捐赠和赞助、生态流量变现、商业引流、合规驱动等。
密码开源生态产业链
包括开源基金会、开源社区、开源贡献者、开源使用者等，各方通过开放、透明的协作模式推动密码技术的创新与应用。
密码开源生态面临的问题和挑战
- 密码开源生态发展较为缓慢：生态分散、政策支持力度不够、人才缺乏、商业化应用和推广受限。
- 密码开源标准体系待制定：缺乏统一标准、国际协议标准及软件不支持我国商密算法、合规性检测标准缺乏。
- 密码开源面临供应链安全风险：供应链依赖风险、供应链断供风险、供应链恶意预留后门风险。
- 密码开源面临技术安全风险：伪随机数风险、数字证书应用风险、侧信道攻击风险、内存泄漏风险、缓冲区溢出风险、参数设置风险、弱密码算法风险。
- 密码开源面临知识产权及法律风险：违反开源许可证条款、版权和许可声明缺失、专利权风险、著作权风险。
- 密码开源人才建设仍存在不足：规模化密码开源人才培养生态有待发展、密码开源教育资源缺乏、顶尖密码开源人才匮乏、企业对密码开源人才培养成本投入少。
密码开源生态发展趋势与建议
密码开源生态未来发展趋势
与前沿技术加速融合、产业生态更加完善、人才培养更加多元、应用场景更加丰富、安全风险防控更加智能。
密码开源生态发展建议
- 深化密码开源生态发展：加大投入与扶持、推动上下游对接和合作、加强国际交流与合作。
- 推动密码开源标准体系建设：制定标准化发展战略、健全标准体系框架、积极参与国际标准化活动、加快国内密码开源标准研制。
- 加强密码开源供应链安全管理：推动建立SBOM管理机制、研究制定断供风险方案、加强密码开源社区治理。
- 加强密码开源技术研发：加强开源软件密码漏洞检测工具研发、加强代码审查及安全审计力度、引入软件签名技术、采用透明化技术。
- 推动密码开源知识产权保护：完善知识产权及法律法规保护、开展知识产权宣传教育、强化社区自律。
- 健全密码开源人才队伍：加强密码开源创新人才培养、鼓励密码开源产业和教育融合、加强密码开源知识库和资源库建设。
