银河麒麟OS访问政企加密网站提示“证书不可信”等，本质是未启用国密算法栈、缺失政务根证书或未配置SM2/SM4握手策略，须完成浏览器安装、国密协议启用、根证书导入、可信站点白名单四步闭环操作。
银河麒麟OS访问政企加密网站时提示“证书不可信”“连接不安全”或页面空白，本质是浏览器未启用国密算法栈、缺失政务根证书或未正确配置SM2/SM4握手策略。必须完成浏览器安装、国密协议启用、根证书导入、可信站点白名单四步闭环操作，缺一不可。
安装奇安信可信浏览器或红莲花国密浏览器
政企系统强制要求使用通过国家商用密码检测中心认证的国密浏览器，奇安信与红莲花为银河麒麟V10/V11官方适配双选方案。二者均原生集成SM2密钥交换、SM3哈希、SM4对称加密模块，且预置政务CA信任链。
方法一：在线安装奇安信可信浏览器（推荐首选）
打开终端，执行 sudo apt update && sudo apt install -y browser-qianxin-stable；若提示“无法定位软件包”，则先运行 sudo apt-add-repository 'deb https://mirrors.qianxin.com/qianxin-browser stable main' 再更新安装。
方法二：离线部署红莲花信创浏览器
从海泰方圆官网获取 honglian-hu-*.deb（注意匹配ARM64/x86_64架构），保存至 /home 目录；执行 cd /home && sudo dpkg -i honglian-hu-*.deb；依赖修复命令为 sudo apt --fix-broken install -y。
【关键前提】安装前务必确认系统已启用国密内核模块：执行 lsmod | grep gm，输出含 gmssl 或 kcapi_gm 表示就绪；若无输出，需先安装 kylin-crypto-modules 包。
启用国密SSL协议与SM2握手支持
仅安装浏览器不等于能访问政企加密网站——必须显式开启国密协议栈，否则仍走TLS 1.2国际通道，被政务网关直接拦截。
第一步：启动浏览器后，在地址栏输入 qianxin://settings#security（奇安信）或 honglian://settings/security（红莲花），回车进入安全设置页。
第二步：勾选“启用国密SSL协议”“强制使用SM2密钥交换”“启用SM4-GCM加密套件”三项；取消勾选“允许降级到RSA/TLS1.2”。
这一步不可跳过：政企网关（如国家政务服务平台、各省一网通办）已关闭非国密通道，未勾选将导致握手失败、白屏或ERR_SSL_VERSION_OR_CIPHER_MISMATCH错误。
第三步：点击“重启浏览器使配置生效”，关闭所有窗口后重新从开始菜单启动。
导入政务根证书（CFCA/BJCA/SZCA）
政企网站证书由CFCA（中国金融认证中心）、BJCA（北京数字认证）、SZCA（深圳数字认证）等国产CA签发，其根证书未预置在Linux基础信任库中，必须手动注入系统级CA存储并刷新。
下载对应根证书：访问CFCA官网→“服务支持→根证书下载”，获取 CFCA_EV_ROOT.cer；或从BJCA官网下载 BJCA_EV_ROOT_CA.cer；保存至 /tmp/certs/ 目录（需提前创建）。
执行证书导入命令：sudo cp /tmp/certs/*.cer /usr/share/ca-certificates/extra/；编辑配置文件：echo "extra/CFCA_EV_ROOT.cer" | sudo tee -a /etc/ca-certificates.conf；最后运行 sudo update-ca-certificates 强制重载信任链。
验证是否生效：在终端执行 openssl s_client -connect www.gd.gov.cn:443 -sm2（替换为目标政务域名），若返回包含 Server certificate 且无 verify error，即表示根证书已就位。
添加可信站点白名单并禁用非国密重定向
部分政务系统采用混合部署：前端HTTP跳转HTTPS时未携带国密标识，导致浏览器自动回落至国际SSL，触发拦截。必须将域名加入白名单并锁定国密策略。
打开浏览器 → 设置 → 隐私与安全 → 可信站点管理 → 点击“添加”；输入目标网址，格式必须为 https://zwfw.mps.gov.cn（不能带端口、不能用IP、不能省略https）；在“协议策略”下拉框中选择“仅允许国密SSL（SM2+SM4）”。
对已存在但访问异常的站点，先点击右侧“删除”，再重新按上述格式添加；【易错点】若输入 zwfw.mps.gov.cn（缺https）或 http://zwfw.mps.gov.cn（错用http），将导致白名单失效，仍被重定向拦截。
完成添加后，点击右上角“立即应用策略”，无需重启浏览器，策略实时生效。
