操作系统TOE文件加解密流程示例.pdfVIP

T/ZISIA—2026

附录A

（资料性）

TOE文件加解密流程示例

A.1概述

本附录给出满足本文件要求的单个文件加解密流程示例，文件加密算法使用SM4算法，加密模式使

用CBC模式，密文文件真实性认证使用SM3算法，HMAC模式。

本示例中密钥包括KEK、DEK、FAK，不含MK，身份认证因子AF包含口令身份认证因子和智能密

码钥匙身份认证因子两种。

A.2密钥生成、保护与授权

A.2.1概述

文件加密密钥DEK、文件认证密钥FAK通过调用OS商密子系统接口随机生成【要求9.1-01】【要求

9.1-03】。密钥加密密钥KEK分别采用以下两种生成方式：

（1）基于口令派生，见A.2.2。【要求9.1-02】

（2）使用智能密码钥匙内部的已有密钥，见A.2.3。【要求9.1-02】

随机生成的DEK、FAK使用KEK加密保护。【要求9.5-02】