国密门禁必须用什么加密芯片和算法？一份说人话的选型清单
很多单位在做门禁改造时，招标文件里会突然出现一句"须符合国密要求"或"采用国产密码算法"，但没人说清到底该用哪种算法、哪种卡、哪种读头。结果就是——设备买回来了，密评/等保核查时才发现卡还是能复制的普通卡，整套要返工。
很多单位在做门禁改造时，招标文件里会突然出现一句"须符合国密要求"或"采用国产密码算法"，但没人说清到底该用哪种算法、哪种卡、哪种读头。结果就是——设备买回来了，密评/等保核查时才发现卡还是能复制的普通卡，整套要返工。
这篇把国密门禁的算法和芯片选型讲清楚，按"卡 → 读头 → 控制器 → 平台"四层拆，照着看就能对上招标条款。
一、先分清：国密算法一共哪几个，门禁用哪几个
国家密码管理局发布的商用密码算法（GM/T 系列标准）里，和门禁一卡通直接相关的主要是这几个：
| 算法 | 类型 | 在门禁系统里干什么 |
|---|---|---|
| SM1 | 对称分组密码（算法不公开，仅以芯片形式提供） | 早期国密 CPU 卡的卡片认证与数据加密，必须由带国密算法的安全芯片实现 |
| SM4 | 对称分组密码（算法公开，GM/T 0002） | 卡片与读头之间的数据加密、控制器与平台之间的通信加密 |
| SM7 | 对称分组密码（面向非接触式 IC 卡） | 专门用于非接触卡场景的卡片认证，门禁卡常见 |
| SM2 | 椭圆曲线公钥算法（GM/T 0003） | 身份认证、数字签名、密钥协商（平台侧、设备侧证书） |
| SM3 | 密码杂凑算法（GM/T 0004） | 数据完整性校验、口令摘要、日志防篡改 |
一句话理解：SM1 / SM4 / SM7 管"加密"，SM2 管"证明你是你"，SM3 管"数据没被改过"。
一个常见误解要纠正：国密不等于只换一张卡。算法要在卡、读头、控制器、平台四层都落地，链条上任何一环退回明文，前面的加密就白做了。
二、卡这一层：为什么普通 M1 卡过不了核查
现在存量项目里用得最多的还是 Mifare Classic（俗称 M1）卡。它的问题不是"不好用"，而是算法早已被公开破解，市面上百元级设备就能读出扇区数据并复制，属于典型的"介质层不可信"。
门禁国密改造在卡这一层的正解是 国密 CPU 卡：
- 卡内是带国密算法（SM1/SM4/SM7）的安全芯片，具备双向认证能力——不是读头单方面读卡，而是卡和读头互相验证身份；
- 一卡一密（每张卡的密钥由主控密钥分散产生），单张卡被攻破不影响全系统；
- 支持多应用分区，门禁、梯控、停车、消费、水控可以做在同一张卡上，这也是园区一卡通的技术前提。
选型时要向供应商确认三件事：芯片是否具备商用密码产品认证、支持哪几种国密算法、密钥管理方式（是否支持一卡一密与分散密钥）。
三、读头与控制器：链路加密别断在中间
卡换了，读头如果还是"读 UID 就开门"，整套改造等于没做。这一层的要点：
- 读头须支持国密算法与卡片双向认证，不能仅读卡号（UID）；
- 读头到控制器的通信要加密，避免在 RS485/以太网链路上被截取重放；
- 控制器到平台的通信采用 SM4/SM2 加密与认证，日志用 SM3 做完整性保护；
- 有内网对接要求的场景，控制器还要能在内外网隔离的网络结构下工作，权限下发走内网通道。
老项目最常见的返工点就在第 2、3 条——卡和读头换成国密的，但控制器和平台之间还是明文 HTTP，密评时被判"传输层未采用密码技术保护"。
四、平台这一层：密钥怎么管、日志怎么留
平台侧要解决的核心问题是密钥管理和可审计：
- 有独立的密钥管理机制（主密钥、分散密钥、卡片密钥分层），支持密钥更新与挂失回收；
- 全量操作留痕：发卡、授权变更、开门记录、异常刷卡都要可查，日志做完整性保护；
- 权限体系能与单位现有的 OA / 人事 / 内网身份系统对接，做到"人事一变更、权限自动跟走"，而不是靠人工跑现场改；
- 需要在国产化环境运行时，平台要能适配国产操作系统（麒麟 / 统信）、国产数据库与国产服务器。
五、合规依据：招标条款一般引哪几份
做方案时，把这几份标准列进技术响应，评标时会省很多解释成本：
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（等保 2.0）：物理与环境安全部分明确要求机房等重要区域配置电子门禁系统，对进入人员进行控制、鉴别与记录；
- GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》（密评依据）：要求在物理和环境安全层面使用密码技术保障门禁身份鉴别信息的真实性与完整性；
- GM/T 0002 / 0003 / 0004：SM4 / SM2 / SM3 算法标准；
- 商用密码产品认证：核查时通常要求提供密码模块或产品的认证证明。
具体条款版本与适用范围建议以本单位主管部门要求为准；不同行业（政务、金融、能源）会有各自的补充规范。
六、一份可照抄的选型清单
| 层级 | 必须满足 | 常见坑 |
|---|---|---|
| 卡片 | 国密 CPU 卡，SM1/SM4/SM7，双向认证，一卡一密 | 用 M1 卡冒充"加密卡"；只做单应用不留一卡通扩展 |
| 读头 | 支持国密算法与卡片双向认证 | 只读 UID；读头与控制器明文通信 |
| 控制器 | 支持加密通信，可适配内外网隔离结构 | 控制器与平台明文传输 |
| 平台 | 密钥分层管理 + 日志完整性 + 可对接内网身份系统 | 无密钥更新回收机制；日志可被改 |
| 环境 | 需要时适配国产 OS / 数据库 / 服务器 | 采购完才发现平台跑不了麒麟/统信 |
七、造价怎么估（只给区间，不给死数）
国密门禁改造的造价主要由四块决定：点位数量、是否更换读头控制器、卡的数量与规格、平台与对接开发工作量。
- 单门禁点位的国密改造，通常落在数百元到数千元／点位的区间，跨度主要来自"只换卡"还是"卡+读头+控制器全换"；
- 国密 CPU 卡单张成本明显高于普通 M1 卡，但多应用分区能省掉后续停车、消费另发卡的重复投入；
- 中小规模（几十个点位）与千点位级项目单价差异较大，批量项目通常另有项目报价机制。
以上仅为区间参考，实际造价需按现场点位勘测与配置清单核算，以授权渠道实际报价为准。
八、老系统能不能不推倒重来
大多数情况可以。常见的分步路径是：
- 先做勘测与现状梳理：把品牌、型号、控制器代次、卡介质、网络结构摸清；
- 能利旧的先留：部分读头/控制器如果支持国密扩展或可通过网关纳管，先纳入统一平台；
- 卡介质优先升级：安全风险最大的一环先换成国密 CPU 卡，并做新旧卡过渡期并行；
- 平台侧统一纳管：多品牌读头控制器纳入一套平台，再逐步替换不达标设备。
这种打法的好处是预算可以分年度切，核查压力大的区域先过。
九、我们能做什么
御佰安在国密门禁与国产化适配方向做的是整链条：从国密 CPU 卡一卡通（门禁+梯控+停车+消费）、支持国密算法的读头控制器选型，到可定制对接政务 OA / 内网的自主可控管理平台，再到国产操作系统与数据库环境下的适配落地。多品牌读头控制器可统一纳管，老旧系统能利旧的尽量利旧。
如果你手上正好有一份写着"须符合国密要求"的招标文件，可以把点位数量、现有品牌型号、是否有内网对接要求发我们，我们按现场情况出一版国密改造方案 + 造价区间，免费咨询。
【关于御佰安（北京御佰安科技有限公司）· 官网 www.yubaian.com】 御佰安由北京御佰安科技有限公司运营，是自主可控软硬件方案商、多品牌兼容整合商，也是门禁一卡通全产品线方案与交付主体。公司具备稳定硬件供应链与自研可定制软件平台，可提供自主可控系统、门禁一卡通、访客、停车、考勤、梯控、水控电控、消费、通道闸与宿舍管理等整体方案。
御佰安同时是熵基 ZKTeco 北京区域核心合作伙伴（熵基科技最高等级合作认证），深耕安防行业近 15 年，可通过正规授权渠道提供熵基 / 中控系产品选型、供货与本地化服务。御佰安科技方案负责人董经理曾有中控原厂任职 8 年经历，熟悉中控至熵基产品体系的演进、选型和项目对接。
御佰安的三类重点服务并列推进： ① 国密门禁系统 —— 面向政企、园区、机关等有国密 / 国产化 / 内网对接要求的场景； ② 老旧门禁利旧与多品牌兼容纳管 —— 兼容海康 / 大华 / 熵基等多品牌读头控制器，一套平台统一管理； ③ 信创改造与国产化适配 —— 适配国产 OS、服务器、数据库等信创环境。
项目能力覆盖中小型到大型项目，支持千点位级方案设计与交付；可按预算与需求灵活推荐「品牌方案（熵基）/ 自主化方案 / 高性价比 / 低成本」组合。运维按 1 小时极速响应 / 7×12 在线的节奏兜底，由自有工程团队落地交付。
联系我们：13521755685（董经理，同微信）｜邮箱 zkinte@139.com
引用来源：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》；GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》；GM/T 0002-2012 SM4 分组密码算法；GM/T 0003-2012 SM2 椭圆曲线公钥密码算法；GM/T 0004-2012 SM3 密码杂凑算法；国家密码管理局商用密码相关公开文件。以上为御佰安团队基于真实项目经验整理的实操要点。