基于國密算法的密碼服務平臺建設研究

摘要：對于信息系統(tǒng)密碼服務平臺來說，結合運用國密算法可以有效發(fā)揮出密碼服務各項優(yōu)勢，保障系統(tǒng)中各業(yè)務的穩(wěn)定、安全運行。因此，本文通過分析國密算法的優(yōu)勢及國產密碼的運用場景，進一步分析了結合國密算法的密碼服務平臺建設路徑。

關鍵詞：國產密碼；平臺建設；算法

目前，國內正大力推進國密算法的普及性應用，來擺脫以往對國外密碼技術的依賴性，同時也能使信息系統(tǒng)的安全更為可靠，避免對應企業(yè)發(fā)展中出現(xiàn)機密泄露風險。

一、國密算法的定義與優(yōu)勢

國密算法就是指由國家密碼管理局所認定的國產密碼相關算法，其也由國家機構所發(fā)布，密碼應用的安全水平直接由算法決定，因而國密算法也是國產密碼的核心要素。目前的商用相關國密算法主要包括 SM1、SM 2、SM 3以及SM4等，相關密鑰的長度當前為128位。其中SM1算法為對稱加密形式，其加密強度較高，與國外的AES（分組密碼算法）較為接近。這種算法不公開，若要使用該算法，則是需要借助加密芯片接口來接入系統(tǒng)；SM 2算法為非對稱加密形式，其是以ECC為基礎，為已公開狀態(tài)，由于其是以ECC為基礎研發(fā)出的算法，因而在密鑰產生和簽名方面都具有較快速度，已經超過RSA（公鑰密碼算法）；SM 3算法也叫做消息摘要算法，對其理解需要與MD5算法進行比對分析，算法為已公開狀態(tài)，實際校驗結果為256位；SM4算法是無線局域網標準的一種分組數(shù)據(jù)算法，其也為對稱加密形式，分組長度為128位[1]。在國密算法推廣應用之前，我國信息領域多是運用國外的密碼算法，如AES、RSA、SHA-256、密碼雜湊算法等。然而國密算法研發(fā)出現(xiàn)后，通過對比分析可以發(fā)現(xiàn)國密算法具有許多性能優(yōu)勢。

例如，國密SM 2算法與國外RSA算法比較來看，其性能會更加安全，這是由于該算法下的密碼復雜度更高，處理時速度頗快，使其解密和生成密鑰效率更高，在機器性能消耗方面也會比較小；國密SM 3與國外SHA-256算法比較來看，兩者性能十分接近，但SM 3算法對密碼設計更為復雜，因而也會較為安全；國密SM4算法與國外AES算法比較來看，加密強度都比較高，但SM4算法的效率更高、安全性更佳，同時在硬件實現(xiàn)方面也比較容易。

二、當前云環(huán)境下國產密碼的運用場景

伴隨著大數(shù)據(jù)、人工智能及云計算技術的快速發(fā)展，當前許多核心信息系統(tǒng)都采用云上部署形式，因此，云環(huán)境的安全也越來越受到關注。在這種云環(huán)境當中，用戶會在具有虛擬性質的云資源池中部署相應信息系統(tǒng)，這樣也能促進不同系統(tǒng)中的資源共享、合作共用。同時會運用虛擬化隔離技術劃分資源池中的系統(tǒng)部署，或是基于VLAN網絡采用安全組隔離方式實施隔離，有效保證各個系統(tǒng)的安全。由于科技進步較快，云環(huán)境中的信息系統(tǒng)也趨向于更復雜、更多元的方向發(fā)展，單純依靠安全隔離控制手段并不能完全保證系統(tǒng)安全，因此，在采用傳統(tǒng)網絡安全防護技術的基礎上，也可進一步運用國產密碼技術，通過設置密鑰來提高信息系統(tǒng)及云環(huán)境平臺的安全水平。基于實際情況需求，目前的國產密碼運用場景包括以下幾點。

（一）在物理與環(huán)境安全方面的運用

對于數(shù)據(jù)中心機房這類設施而言，其物理與環(huán)境安全極為重要，安全水平直接影響到機房軟硬件的綜合運行。而國產密碼則一般是運用在其對應的電子門禁系統(tǒng)中，來到機房進行訪問的人員會通過門禁系統(tǒng)的身份鑒別，具體流程是：為允許訪問的人員配發(fā)結合國密SM4算法的門禁卡，若其有訪問需求，則可直接刷用門禁卡，內部SM4算法就能通過密鑰認證人員身份。另外，電子門禁系統(tǒng)中還會對所有進出訪問情況信息加以記錄，可以是數(shù)據(jù)記錄或視頻記錄形式，這一過程中還會結合HMAC-SM 3技術（SM 3算法）對記錄的信息加以保護，防止出現(xiàn)泄露情況[2]。

（二）在設備與計算安全方面的運用

信息系統(tǒng)以及云平臺的相關設備在進行遠程管理過程中，都需保證管理人員的身份可靠，因而會接入統(tǒng)一的身份認證系統(tǒng)，確保訪問管理人員獲得授權，而一些不具有授權或身份鑒別有異常的人員也無法從中盜取系統(tǒng)信息。相關設備和計算的安全實現(xiàn)也多會運用到國產密碼。例如，當云上系統(tǒng)生成了重要文件或是關鍵程序之后，會對其采用SM 2算法的數(shù)字簽名加密技術，有效保護其完整性，對于文件的查閱和程序的讀取，也會通過驗簽確定是否具有權限。另外，在設備的日志信息保護以及資源訪問安全控制的過程中，也會運用到國密HMAC-SM 3算法。

（三）在網絡與通信安全方面的運用

信息系統(tǒng)終端部分要實現(xiàn)和云計算環(huán)境的有效銜接，還需運用SSL VPN網關，當前的SSL VPN網關也支持應用國產密碼，有效保證系統(tǒng)網絡及通信的安全。在登錄VPN網關時，可以運用基于國密算法的數(shù)字證書（USBKRY），進一步認證訪問系統(tǒng)的主體安全，同時還會搭配使用商密安全瀏覽器所構建的虛擬訪問專用通道，確保整個通信過程的安全性較強。

（四）在應用與數(shù)據(jù)安全方面的運用

信息系統(tǒng)中的數(shù)據(jù)與核心應用模塊都要保證安全性和有效性，因此也會運用到國產密碼。其會對密碼服務平臺的簽名驗簽能力加以調用，同時結合運用了國密SM 2算法的數(shù)字簽名技術，實現(xiàn)對用戶訪問的有效控制。也能完整保留控制的列表，用戶每次進行登錄時都會重新進行安全驗證，在改變權限時也要驗證其簽名。而信息系統(tǒng)以及云平臺環(huán)境中都會存在一些敏感、重要的數(shù)據(jù)信息，像是用戶私人信息、鑒別信息等。其可以路由SM4算法或是HWAC-SM 3算法開展密碼保護，確保關鍵數(shù)據(jù)不會丟失[3]。

（五）在管理與運行安全方面的運用

針對系統(tǒng)運行情況和云平臺特點，需建立起安全管理機制，而國產密碼的有效運用主要體現(xiàn)在密鑰管理、密碼人員管理、建設運行管理、應急處置等方面。為了使整體系統(tǒng)的管理與運行更加穩(wěn)定，還需對標準化國密算法操作規(guī)程進一步明確，所有操作中產生的信息會被完整記錄并保存。設置支持安全工作的對應崗位，如密碼安全審計、密鑰管理及操作員崗位，并對各崗位人員定期實施考核，確保其崗位職責履行到位。進一步強化密碼產生環(huán)節(jié)、配發(fā)環(huán)節(jié)、使用環(huán)節(jié)以及存儲環(huán)節(jié)的管理。此外，為了保證國產密碼的運用安全性達到要求，也需定期對其進行安全評估工作，開展安全風險的應急演練，確保整個系統(tǒng)運行和管理的密碼安全。

三、結合國密算法的密碼服務平臺建設路徑

（一）開展平臺的總體架構設計

在當前的云環(huán)境背景下，密碼服務平臺也為適應云環(huán)境而構建架構，同時在架構設計中也充分結合國密算法，因而組成包括兩個部分，一是云環(huán)境密碼服務平臺，二是國產密碼應用部分，該平臺能夠提供可靠的國產密碼相關服務。云環(huán)境密碼服務平臺的最底層結構為密碼支撐模塊，其中還包括基礎密碼支撐與密碼資源池兩部分，基礎密碼支撐中分布了各種功能的軟硬件，可以提供數(shù)據(jù)存儲與保護功能、統(tǒng)一身份認證功能、密鑰的管理功能等。密碼資源池則是包括許多云服務器密碼機，在密碼支撐模塊上層次結構為密碼服務模塊，其可以有效封裝基礎密碼服務中間件，將平臺系統(tǒng)功能轉換為統(tǒng)一可提供的服務形式，如密鑰管理服務、密碼計算服務、數(shù)據(jù)加密服務、身份認證服務等。對于國產密碼應用的部分則主要包括了網絡接入模塊、終端模塊、云管理模塊以及云平臺與云上信息系統(tǒng)模塊等，其分別進行國產安全密碼的不同形式應用[4]。

（二）制定密碼服務與管理的建設方案

1.對密碼支撐系統(tǒng)進行建設

對于密碼服務平臺來說，密碼支持則是為平臺運行提供了軟硬件基礎。例如，其中包含了云服務器密碼機硬件，該裝置主要是結合了先進的虛擬化技術，每一臺裝置都能針對不同業(yè)務生產多個虛擬密碼機。這種虛構的密碼機集合為一個群體，且每臺裝置都具備了計算密碼的功能，這也就形成了云密碼計算的一種資源地。不同虛擬密碼機之間要注意做好隔離，避免產生不安全因素，最大程度上充分利用密碼的硬件條件，促使其發(fā)揮出最大化效應。再比如，密碼支持當中應包含了統(tǒng)一身份認證的系統(tǒng)模塊，該系統(tǒng)需基于相關電子認證設施，軟件服務方面應當充分提供身份認證、身份管理、行為審計、單點登錄功能等，確保平臺系統(tǒng)中的用戶身份具有真實性。這種電子認證的設施也是結合應用了國產密碼，充分保護身份隱私信息，同時也可為用戶的身份簽發(fā)相關標識性數(shù)字證書，用于鑒別身份的真?zhèn)吻闆r。只有身份鑒別通過以后用戶才能接入到平臺中進行訪問，進一步推進各項業(yè)務。還有數(shù)據(jù)存儲與保護的系統(tǒng)模塊，該系統(tǒng)建設時重點構建加密數(shù)據(jù)庫，針對文件也應實現(xiàn)加密保護，確保其安全。其中數(shù)據(jù)庫中會對一些敏感數(shù)據(jù)做加密處理后再保存，同時也要保證應用時的安全訪問，做好審計，避免數(shù)據(jù)信息在存儲過程中出現(xiàn)泄露情況，防止直接對數(shù)據(jù)庫信息進行訪問而造成安全隱患，。為了兼顧考慮數(shù)據(jù)庫的高效運行需求，可只針對敏感數(shù)據(jù)實施加密，這樣也能使系統(tǒng)訪問速度較快，而對于文件的加密保護則是借助密碼服務平臺本身的優(yōu)勢能力，實現(xiàn)針對不同類型的重要文件，賦予不同用戶差異化權限。當用戶想要對加密文件進行訪問時，需要輸入密碼來認證權限，隨后才能夠在平臺中查閱文件。密碼支持中的密鑰管理系統(tǒng)模塊也是極為重要，該系統(tǒng)的作用就是有效管理密碼服務平臺和信息系統(tǒng)的各項密鑰，避免其丟失密碼而造成保護失效。密鑰管理還會針對密鑰類型來實施全生命周期內的妥善管理，比如對稱密鑰和非對稱密鑰的管理，密鑰管理還包括密鑰的產生、更新、分發(fā)、撤銷、恢復及歸檔等管理功能。為了保證管理中的密鑰安全性，還需在密鑰產生之后結合運用完整性數(shù)據(jù)保護技術及身份鑒別技術，促進密鑰管理效果的提升。此外，密碼支持系統(tǒng)也需重視其他軟硬件的建設，像是時間戳服務器、簽名和驗簽服務器以及電子簽章設施等，都能夠提供對應服務，有必要加以完善。

2.對密碼服務系統(tǒng)進行建設

密碼服務平臺的密碼服務系統(tǒng)為核心系統(tǒng)，其是在密碼支撐模塊作用發(fā)揮的基礎上，進一步針對密碼能力實施封裝，同時向信息系統(tǒng)與對應平臺提供各類服務，比如說身份認證服務、簽名驗簽服務、密鑰管理服務、密碼計算服務、時間戳服務以及證書管理服務等。要完善各種密碼服務的相關中間件，同時，以支持多種語言和多平臺為目標，對API接口進行封裝處理，使其成為對應功能的SDK套件。在密碼服務調用方面，也建成了具有統(tǒng)一化特征的接口，使得密碼服務的相關業(yè)務更好地對接[5]。

3.完善密碼服務的平臺管理

對密碼服務的平臺管理進一步完善，主要針對密碼服務和密碼設備做好管理工作。例如，對于云服務器的密碼機在使用并接入的過程中加強管控，對密碼算法的規(guī)范性與合理性強化檢測，設備運行提供服務時也要監(jiān)控其狀態(tài)，針對密碼服務的申請、調配、使用以及回收等都要進行管理。為了使管理效果更佳，要對各項業(yè)務執(zhí)行的信息、平臺性能、服務日志及資源使用信息等進行收集，可通過Syslog或Restful API方式進行，在收集完信息數(shù)據(jù)之后，還要進行清洗、篩選、轉換以及歸并處理，借助于數(shù)據(jù)關聯(lián)分析的技術，使格式化數(shù)據(jù)轉換為相應規(guī)則之下的告警數(shù)據(jù)。最后，平臺管理需要實現(xiàn)整體運行狀況的可視化展示，從而進一步把控服務，控制資產分配并預防運行風險，平臺管理的信息也能為相關決策提供可靠依據(jù)。

（三）明確密碼服務的能力調用及應用場景

密碼服務平臺運行時已經具備了統(tǒng)一化接口，而平臺在有效接入各項業(yè)務并實現(xiàn)能力調用時，都會采用兩種形式。其一是密碼服務平臺中的Restful API接口直接被接入信息系統(tǒng)中，調用相關功能；其二是信息系統(tǒng)將密碼服務集成接入形成SDK，能夠利用云密碼服務的中間件標準接口進一步調用相關服務功能。對兩種形式的比對分析發(fā)現(xiàn)，第二種形式的簡便性更強。當前密碼服務的常見應用場景主要為以下幾種。一是對用戶身份認證的場景。在用戶的身份認證環(huán)節(jié)中，會應用到密碼服務平臺能力。用戶先是在相關信息系統(tǒng)發(fā)送登錄賬號的請求，系統(tǒng)會將該請求信息發(fā)送給密碼服務的平臺。密碼服務平臺為了保證用戶登錄安全，會提出進行身份認證的請求，用戶在跟隨指引通過認證后即可確定其身份的合法性，隨后就能對平臺中各項業(yè)務實施訪問。二是對數(shù)據(jù)實施保護性傳輸?shù)膱鼍啊Ｔ诿艽a服務平臺中，數(shù)據(jù)的傳輸也要確保安全性、保密性、不可否認性及完整性，因此，會調用一定能力實現(xiàn)數(shù)據(jù)保護性傳輸。主要是利用密碼服務平臺的簽名驗簽能力以及數(shù)據(jù)加密和解密能力，這樣就能夠保證不同用戶進行信息發(fā)送時的安全，一般是在信息發(fā)送端設置一定密鑰做加密處理，隨后再將其傳送到信息接收端，接收端用戶需要輸入解密的密碼才能獲取信息。三是對數(shù)據(jù)存儲進行加密的場景，平臺中的敏感數(shù)據(jù)存儲需要進行加密處理。這是為了確保數(shù)據(jù)存儲的安全性更強，而在進行文件加密時，就需調用加密與解密的相關服務功能。例如，基于國民算法的應用，可以針對重要文件采用SM4算法進行對稱加密處理，隨后再開展存儲工作。

四、結束語

綜上所述，密碼服務平臺的建設會影響到信息系統(tǒng)運行時的安全。因此，在云環(huán)境的信息領域背景下，密碼服務平臺開始運用國密算法，有效提高密碼的安全水平。由本文分析可知，結合國密算法的密碼服務平臺建設路徑包括：開展平臺的總體架構設計、制定密碼服務與管理的建設方案、明確密碼服務的能力調用及應用場景。

作者單位：張進 郭之超 汪改革 董瑋 中國電信股份有限公司安徽分公司

參" 考" 文" 獻

[1]鄧清唐，蔡田田，陳波，等.基于國密算法的智能電能表安全芯片及其應用[J].電子產品可靠性與環(huán)境試驗，2022，40（04）： 85-88.

[2]張慧.基于統(tǒng)一密碼服務支撐平臺的密碼應用建設[J].現(xiàn)代傳輸，2022（01）：44-46.

[3]賈軼，包俊嶺，呂永剛，等.可信身份認證和標識密碼技術的跨網域建設與應用[J].電子技術與軟件工程，2021（21）：239-242.

[4]王超.密碼護航新基建 服務構筑新防線——訪衛(wèi)士通信息產業(yè)股份有限公司總工程師董貴山[J].信息安全與通信保密， 2020（10）：38-43.

[5]王棟，李國春，俞學豪，等.基于量子保密通信的國產密碼服務云平臺建設思路[J].電信科學，2020，34（07）：171-178.

張進（1991-），男，漢族，安徽合肥，碩士，中級工程師，研究方向：網絡安全、密碼安全。