Coremail 国密算法加密 SM9/SM4/SSL全链路安全
国密是什么
国密算法是国家密码管理局发布的一系列密码算法标准，包含：
| 算法 | 类型 | 用途 |
|---|---|---|
| SM2 | 非对称加密 | 数字签名、密钥交换 |
| SM3 | 哈希算法 | 完整性校验 |
| SM4 | 对称加密 | 数据加密 |
| SM9 | 基于标识的密码（IBC） | 邮件安全的特殊场景 |
信创要求中，国密算法是必须项——尤其是政府、金融等对数据安全有硬性要求的客户，邮件系统必须支持国密加密。
Coremail 的国密支持
Coremail 是国内最早全面支持国密算法的邮件系统之一，从存储、登录、传输、安全邮件客户端四个维度实现国密覆盖。
存储加密：SM4 全量加密
Coremail XT6 和企业邮箱独享版支持用 SM4 算法对邮件存储进行全量加密：
- 邮件正文加密存储
- 邮件附件加密存储
- 用户密码哈希存储（使用国密哈希算法）
- 通讯录、日历等用户数据加密存储
加密密钥由系统自动管理，用户无需感知。如果有人物理拿走存储介质（硬盘），里面的数据是完全不可读的。
传输加密：SSL/TLS + 国密变体
邮件传输过程也是一个容易被窃听的环节。Coremail 在传输层提供多级保护：
- 标准 TLS/SSL：支持 SMTP、IMAP、POP3 协议的 TLS 加密
- 国密 SSL 变体：GMSSL（国密 SSL）协议，用于信创场景
- 强制加密：管理员可以配置所有邮件收发必须走加密通道
- STARTTLS：如果对端支持加密则自动升级到加密通道
登录认证：国密双因素
Coremail 支持多种国密认证方式：
- 国密数字证书登录：使用 USB Key 中的数字证书认证（国密 SM2）
- 国密动态口令：基于 SM4 算法的动态令牌
- 密码 + 国密证书：双重认证
管理员可以强制开启国密认证，或者只为敏感部门开启。
安全邮件客户端：SM9
Coremail 提供支持国密算法的安全邮件客户端，使用 SM9 基于标识密码技术：
- 每个邮箱地址（如
user@company.com）天然就是 SM9 的公钥标识 - 发件人可以直接用收件人的邮箱地址作为公钥加密邮件
- 收件人用自己的私钥解密（私钥由系统安全分发）
这种方式的好处是不需要事先交换公钥——只要知道对方邮箱地址就能发加密邮件，比传统 PKI 体系简单得多。
国密与信创的配合
国密是信创目录的必选项。Coremail 在信创环境下的国密方案：
| 组件 | 国密支持 |
|---|---|
| 邮件系统（XT6） | 全量国密支持 |
| 信创操作系统（UOS/麒麟） | 与系统级国密能力配合 |
| 信创数据库（达梦/金仓） | 数据库层面国密加密 |
| CACTER 安全网关 | 国密传输 |
| Air 客户端（信创 OS） | 国密安全邮件 |
| 鸿蒙客户端 | 国密支持 |
不是"国密只是选填项"
很多人以为国密是"信创客户才需要的可选功能"——实际上不是：
- 国密是安全底线：相比国际算法，国密没有"后门"风险，完全自主可控
- 国密是合规要求：等保 2.0、分保、《网络安全法》都对密码有明确要求
- 国密是差异化优势：在信创采购中，国密支持是硬指标
Coremail 全产品线（XT6、企业邮箱、CACTER 网关）都提供完整的国密支持，不只是"勾个复选框"的表面功夫。
客户的实际使用
某省级政府客户：
- 邮件系统：Coremail XT6（信创版本）
- 加密方式：SM4 全量存储 + GMSSL 传输 + SM9 安全邮件
- 效果：通过等保三级认证，通过安全审计
某大型银行客户：
- 邮件系统：Coremail 企业邮箱独享版
- 加密方式：SM4 全量存储 + TOTP 双因素 + 国密动态口令
- 效果：满足银保监会数据安全要求