基于云網融合的政務云密碼應用建設

張靜

(安徽省大數據中心，安徽合肥230001)

1 引言

隨著“數字中國”戰(zhàn)略引領政府加快數字化轉型，政務信息系統(tǒng)巨大的數字化和智能化需求變化對包括政務網絡和政務云在內的電子政務基礎設施提出了新挑戰(zhàn)。后疫情時代，加速了政務網絡、政務云、政務應用和數據資源的融合，政務信息系統(tǒng)上云已成為主流趨勢[1]，政務云由以前提供單一的云或網絡資源服務的服務模式，轉變?yōu)楠毦咛厣摹霸凭W一體化”服務和運維模式[2]。基于云網一體化架構[3]，在政務云的規(guī)劃設計、建設實施、升級改造和運行維護中運用密碼技術，形成密碼應用體系，可有效發(fā)揮密碼技術在政務信息系統(tǒng)中的安全保障作用，更好滿足“數字政府”建設對資源集約化的發(fā)展要求。

2 背景概況

基于云網融合的政務云平臺，通過電子政務網絡強大的網絡通信傳輸和資源匯聚能力，融合了大量跨部門、跨平臺的數據，但存在易遭受網絡攻擊，存在用戶假冒、數據篡改、信息泄露等安全風險[4]。如何為云上政務信息系統(tǒng)提供更加可靠的安全保障，是當前政務云建設發(fā)展過程中亟須解決的問題。

密碼技術作為網絡與信息安全保障的核心技術和基礎支撐[5]，是解決政務信息系統(tǒng)安全保障問題的基礎技術手段，在身份認證、信息加密、安全隔離、完整性保護和操作抗抵賴等方面發(fā)揮著不可替代的作用。《中華人民共和國密碼法》的頒布實施，把密碼應用和管理的基本制度及時上升為法律規(guī)范，填補了我國密碼領域長期存在的法律空白，為密碼創(chuàng)新應用和發(fā)展提供法律依據和底線保障。《信息安全技術信息系統(tǒng)密碼應用基本要求》《商用密碼安全性評估管理辦法(試行)》《政務信息系統(tǒng)密碼應用實施指南》《政務信息系統(tǒng)密碼應用與安全性評估工作指南》等相關技術指南和標準規(guī)范的出臺，為政務云及其承載的信息系統(tǒng)密碼應用提供指導和參考[6]。

早期的政務云主要通過部署傳統(tǒng)密碼設備給信息系統(tǒng)提供密鑰管理或數據加密等密碼服務，但傳統(tǒng)密碼產品和部署方式無法滿足云計算環(huán)境下海量數據的穩(wěn)定高速加解密和簽名驗簽等需求[7]。隨著密碼技術在金融[8]、交通[9]、政務[10]等領域的應用推廣，傳統(tǒng)的密碼技術正在向云密碼服務的方向進行轉變，“密碼+云”的融合應用成為大勢所趨[11]。2017年起，貴州等省份開展了國家商用密碼算法在政務云的應用試點，將簽名、加密、授權等服務使用虛擬化技術進行封裝，屏蔽安全設備之間的差異，形成多種密碼服務資源池，并對其進行統(tǒng)一管理、監(jiān)控并作日志審計，建立集約化政務云密碼服務。

3 總體思路

基于政務云和政務外網“分區(qū)分域”的架構理念，按照總體性、完備性、經濟性原則，開展政務云的密碼應用頂層設計，在政務數據中心機房部署安全門禁系統(tǒng)和視頻監(jiān)控系統(tǒng)，形成可信的環(huán)境監(jiān)控，共建共享政務云和政務外網密碼基礎設施，并依托政務云平臺業(yè)務區(qū)的資源部署密碼服務支撐系統(tǒng)，融合政務云數據中心、政務外網和政務云平臺密碼應用，形成體系化、分層次、合理可行的密碼支撐保障能力，滿足政務云的物理和環(huán)境、網絡和通信、設備和計算、應用和數據、安全管理等層面的安全需求。技術框架如圖1所示。

圖1 政務云密碼應用技術框架

4 架構設計

4.1 可信環(huán)境監(jiān)控

政務外網和政務云的網絡、安全、存儲和計算服務器等硬件設備部署在專用的數據中心機房，機房的物理環(huán)境屬于密碼安全的最基礎又不可或缺的組成部分。在數據中心機房部署安全門禁系統(tǒng)和視頻監(jiān)控系統(tǒng)，實現對機房進出記錄和視頻監(jiān)控數據的機密性和完整性保護。

1)安全門禁系統(tǒng)：安裝非接觸式國密智能IC 卡的國密門禁系統(tǒng)，采用門禁讀卡器和門禁控制器分離的方式，基于國密SM4 對稱密碼算法和密鑰分散機制等密碼技術對進出機房人員進行身份鑒別。門禁后臺管理系統(tǒng)基于PCI-E 密碼卡采用HMAC-SM3 的消息鑒別碼(MAC)機制對電子門禁系統(tǒng)進出記錄數據進行存儲完整性保護。

2)視頻監(jiān)控系統(tǒng)：國密視頻監(jiān)控系統(tǒng)使用符合行業(yè)標準要求的國密攝像機和國密硬盤錄像機(NVR)，并安裝國密播放客戶端軟件(內置PCI-E 密碼卡)，對視頻監(jiān)控數據和存儲進行完整性保護。

4.2 密碼基礎設施

密碼基礎設施，主要采用符合國家密碼相關標準且獲得國家商用密碼產品證書或認證證書的VPN安全網關、服務器密碼機、USB Key 等相關密碼設備和密碼技術對政務云平臺中關鍵業(yè)務應用的資源訪問控制信息、日志記錄、重要審計數據、重要配置數據等進行完整性保護，并保障用戶鑒別數據、重要業(yè)務數據、用戶信息等數據傳輸和存儲的機密性和完整性。

1)網絡邊界區(qū)域部署SSL VPN、IPSec VPN 和安全認證網關，保障網絡和數據傳輸安全。

①SSL VPN：主要用于在網絡上建立安全的信息傳輸通道，通過對數據包的加密和數據包目標地址的轉換實現遠程訪問，利用加密通信信道保護傳輸數據的機密性和完整性。

②IPSec VPN：政務網絡和政務云的數據中心機房之間通過專線+IPSec VPN 的模式，實現通信雙方身份鑒別、通信通道和數據傳輸機密性、完整性保護等功能。

③安全認證網關：采用數字證書為政務云提供用戶的統(tǒng)一管理、身份鑒別、單點登錄、傳輸加密、訪問控制和安全審計等服務，結合SSL VPN 和堡壘機確保運維人員的身份可識別，操作可追溯。

2)在平臺運維區(qū)域部署服務器密碼機、日志審計服務器和加密存儲服務器等，保障政務云平臺業(yè)務和運維數據存儲安全。

①服務器密碼機：作為資源池中的核心密碼算力資源，主要為應用系統(tǒng)提供數據加解密、簽名驗簽、雜湊等密碼運算服務，支持虛擬化并保證各租戶間密碼運算資源的隔離。

②日志審計服務器：記錄密碼應用設備生產日志、平臺設備運行日志以及運維人員訪問和操作日志。

③加密存儲服務器：采用國密算法加密存儲數據及文件，將日志審計采集的日志等相關數據及文件加密存儲，保證日志數據的完整性、機密性以及抗抵賴性。

④簽名驗簽服務器：支持SM1/SM2/SM3/SM4密碼算法，具備數字簽名/驗證、文件簽名/驗證、數字信封、密鑰管理、證書管理、數據雜湊等功能。

⑤時間戳服務器：鏈接國家授時中心標準的時間，提供標準的應用服務接口，為對時間敏感的領域提供在特定時間上數據存在的證明服務。

3)用戶管理區(qū)域通過在用戶終端安裝部署國密瀏覽器，并分發(fā)USB Key，對訪問政務云平臺或應用系統(tǒng)的人員進行身份鑒別。

①國密瀏覽器：基于IE/Blink雙內核設計，具備加解密、簽名、雜湊等密碼運算能力，并增加國密密碼模塊和安全協(xié)議，支持SM2、SM3、SM4等密碼算法，支持基于國密算法的SSL協(xié)議，兼容主流廠家的USB Key，為商用密碼應用的落地提供有力支撐。

②USB Key：主要作為身份鑒別Key，提供簽名驗簽、雜湊等密碼運算服務，實現信息的完整性、真實性和不可否認性保護，同時提供一定的存儲空間，用于存放數字證書等用戶數據。

4.3 密碼服務支撐

密碼服務支撐，主要通過統(tǒng)一密碼服務平臺集成調度服務器密碼機等硬件設施與證書認證系統(tǒng)等軟件系統(tǒng)的密碼能力，統(tǒng)一為政務云平臺流轉的身份鑒別數據、應用業(yè)務數據、虛擬機鏡像文件、租戶鏡像文件、云平臺管理應用的配置數據、訪問和操作日志等進行存儲的完整性保護，防止被非授權篡改。

1)統(tǒng)一密碼服務平臺。在政務云的政務外網公共網絡區(qū)和互聯(lián)網區(qū)各部署一套密碼服務系統(tǒng)，兩區(qū)之間通過跨網數據安全交換系統(tǒng)進行數據交互，形成統(tǒng)一密碼服務平臺，提供支持云化部署加解密、簽名驗簽、數據摘要和MAC等基本密碼功能服務以及提供PKCS7 等多種標準格式簽名和數字信封等密碼應用服務，提供滿足業(yè)務數據安全需求的密碼能力。

2)證書認證系統(tǒng)。主要為設備/用戶的身份鑒別提供真實性、身份驗證、簽名驗簽等信任服務。政務云以國家電子政務外網數字證書中心根CA 作為證書簽發(fā)機構，在政務云機房建設本級電子政務外網RA 節(jié)點，通過雙向SSL 安全通道為系統(tǒng)中的設備、服務和用戶頒發(fā)數字證書，滿足本地政務外網數字證書的申請、簽發(fā)、更新和管理服務。

3)密鑰管理系統(tǒng)。政務云涉及的密鑰主要包括身份鑒別密鑰、會話密鑰和管理員公私鑰。根據產品安全策略，梳理密鑰管理層次，明確密鑰的功能、生命周期和保存方式，建立合規(guī)安全的密鑰管理體系及安全機制，制定密鑰管理制度，并嚴格遵照制度進行使用和實施，保障其(除公鑰) 不被非授權地訪問、使用、泄露、修改和替換。

5 應用成效

基于云網融合的政務云密碼應用能夠提升電子政務基礎設施服務水平和安全防護能力，推動跨部門的政務數據交換共享和資源整合，促進“數字政府”建設和密碼行業(yè)發(fā)展。一方面可以發(fā)揮集約共享的經濟效益。按照電子政務外網和政務云的統(tǒng)一安全標準部署密碼應用，可以充分利用政務網絡的通信傳輸能力和政務云的計算服務能力，集約政務云、政務網絡和密碼資源，實現云網用戶單點登錄，密碼資源集約共享，服務協(xié)同支持，避免重復建設導致的資金浪費和過度保護。另一方面可以發(fā)揮善政、惠民、興業(yè)的社會效益。以云計算的理念和架構對密碼服務進行分層，為各項政務應用提供了更扎實堅固的密碼護盾。政務應用系統(tǒng)可直接使用政務云密碼服務快速部署和運維，加快電子政務應用部署速度，提高為民辦事的行政服務效率。政務云高質量供給要求，推動密碼技術升級和創(chuàng)新應用，讓密碼應用從產品化走向服務化，有助于培育良好的密碼產業(yè)生態(tài)。

6 結束語

新基建時代，政務云與政務網作為“數字政府”的底座，正走向高度協(xié)同、加速融合的新發(fā)展格局。采用密碼技術為支撐框架，打造基于云網融合的政務云密碼應用，形成以密碼為核心的政務云、網安全保障體系，能夠全方位提升數據的加密傳輸、安全存儲、可回溯以及云上政務信息系統(tǒng)及數據資源的安全可信，進一步促進網絡整合的成果轉換，確保政務云密碼應用建設投資合理，規(guī)模適度。