《金融分布式账本技术安全规范》与国密改造

　2020年2月5日，央行发布了《金融分布式账本技术安全规范》（JR/T 0184—2020）金融行业标准，是我国在区块链/分布式账本领域第一项行业标准。该标准在密码算法、账本数据、身份管理、隐私保护等多方面，对金融领域的区块链机构、项目提出了更为正式的规范和要求。

　　在该标准中，明确了如下图的金融分布式账本技术安全体系框架，金融分布式账本技术安全体系包括基础硬件、基础软件、密码算法、节点通信、账本数据、共识协议、智能合约、身份管理、隐私保护、监管支撑、运维要求和治理机制12部分。

　　图4-1：金融分布式账本技术安全体系框架

　　图源：《金融分布式账本技术安全规范》（JR/T 0184—2020），01区块链

　　密码算法部分是此标准最受关注的内容，标准中明确提出了使用国密算法的要求,目前我国公开的主要国密算法包括ZUC祖冲之算法、SM2、SM3、SM4、SM9五种，分别为流密码、非对称密码、散列算法、分组对称密码和非对称标识密码，国密算法从设计上对标目前国际常用的相应密码算法（如表4-1所示），在性能上也有所优化。截至2020年12月，这五种国密算法已经基本完成了各自行业标准和国家标准的制定。

　　《金融分布式账本技术安全规范》中规定：分布式账本系统所使用的具体密码算法应符合GB/T 32905-2016、GB/T 32907-2016、GB/T 32918-2016（SM3、SM4、SM2）等相关国家规范以及GM/TO006-2012、GM/TO009-2012、GM/TO010-2012、GM/T0015-2012、GM/T 0044-2016（SM9）等相关行业规范；分布式账本系统应使用符合GB/T 37092-2018等相关国家标准以及GM/T 0028-2014、GM/T 0039-2015等相关行业标准的密码模块进行密码算法运算和密钥存储。根据此标准，利用非国密区块链平台如Hyperledger Fabric搭建的区块链应用需要进行国密改造，将底层平台中使用的哈希算法、数字签名、数字证书用相应的国密算法替代，以满足此标准。

　　表4-1：国密算法体系一览

　　资料来源：01区块链根据公开资料整理

　　除了对密码算法的要求外，该标准对于账本数据也提出了要求。由于金融行业的特殊性，数据监管和数据审计在标准中被着重强调，即要求监管信息应至少包括金融监管信息，如行业类型、居住国家/地区、民族、居民/非居民、出生日期、个人月收入、税务信息等监管数据项和反洗钱特色数据项，审计记录包括访问的日期、时间、用户标识、数据等审计相关信息，以及数据变更成功的记录和数据变更失败的记录。

　　在共识协议和智能合约方面，该标准对于使用哪一种共识协议和哪一种智能合约语言并没有给出明确规定，但在共识的可扩展性、可监管性等特性，以及智能合约的安全审计、生命周期管理等方面给出了简要要求。