云計算國產密碼的應用與技術方案設計研究

張進 郭之超 張達

（中國電信股份有限公司安徽分公司 安徽省合肥市 230001）

隨著信息安全技術和網絡安全等級保護要求的全面推行，代表我國網絡安全保護開始邁入全新階段，對于所提出的第三級網絡安全要求，相關安全通用要求內，針對密碼管理、驗證接收、產品采購應用、安全方案制定、數據保密設計、數據完整性、信息傳輸以及身份檢測等多種層面要求設置密碼。除此之外，云計算平臺實施安全擴展中也要求合理滲透密碼技術，提升相關信息數據的保密效果和完整性。

1 云計算內密碼應用模式分析

1.1 云計算風險和密碼需求

云計算進一步改變傳統服務模式，對相關基礎設施進行了全面整合，進一步屏蔽底層各種操作細節，但同時也形成各種安全隱患。為此加大了云計算內信息安全復雜性，其和傳統網絡模式比起來存在以下差異，第一是海量、分布式。云計算屬于用戶、服務供應商、基礎設施供應商等多方參與活動，存儲了海量數據，并按照分布式方式進行信息存儲，所需管理資源分別屬于多種安全域，而用戶能夠實現跨域資源共享。為此云計算相關密碼技術能夠支持信息資源的分布式、海量應用。第二是虛擬化和多租戶，云計算相關多租戶、虛擬化、可遷移等特征為實現數據全面共享提供合理通信技術支持，但也使大量安全防護措施全面失效，該種性質容易導致其受到非法利用，產生安全漏洞，為此需要合理應用加密、認證等密碼技術手段確保數據信息處于共享環境內的安全性，更好保護虛擬機的安全運行。第三是物理處相關運行風險。用戶信任邊界處于云計算條件下不會被IT 部門所控制，主要通過動態延伸融入云計算服務供應商域內，用戶在實際應用云計算服務中不了解相關數據信息存儲在哪里，也不了解數據是否存儲于本國內。為此云計算需要合理應用加密訪問控制技術保障各項信息數據安全性。第四是惡意人員攻擊，云計算用戶無法了解云計算服務商相關授權訪問物理以及虛擬資源，怎樣監控相關人員行為，用戶也無法了解內部人員背景，是否為懷有惡意的人、黑客或商業間諜，為此云計算服務商需要實施嚴格的權限控制以及身份認證。

1.2 云存儲內數據加密

因為云用戶不希望其他非授權人員觀看自己的云端數據，為此普遍會在數據傳輸到云端前于用戶端實施加密處理，為此在實施數據共享中不能在云端暴露數據的密鑰和明文，而是下載密文信息到用戶端后實施解密。應用數字證書、數字信封、加解密等技術能夠順利實現該目標，確保用戶資源能夠順利實現自主控制，于云上構建文件保險箱。用戶率先通過對稱密鑰實施數據信息加密處理，隨后將數字信封傳輸至云中實施合理存儲。假如數據共享中，應用被授權用戶對應公鑰加密對稱密鑰，在用戶自身以及被授權用戶需要相關數據條件下，下載云中存儲各種數字信封，通過私鑰解密對稱密鑰，并通過對稱密鑰實施密文解密，轉化為明文。該種加密措施能夠借助加密云內各種靜態存儲數據，更好保障用戶信息機密性，幫助用戶減輕對云計算服務商信任度，并在云中存儲相關信息數據，而該種加密方式需要用戶實施各種加解密操作，對用戶提供更高要求，為此下一階段可以選擇代理重加密措施處理該種問題。

1.3 虛擬機安全

云計算系統運行中，相關用戶普遍利用虛擬機和其他用戶實現物理資源全面共享，由此判斷虛擬化為云計算核心技術手段，但虛擬化也為云計算留下一定安全隱患。傳統模式下的密碼技術，像是數據加密、網絡邊界防護、身份認證、安全審計等需要進一步轉移至虛擬機設備中應用，更好保障虛擬機設備安全應用。虛擬機相關啟動、運行操作需要通過用戶實施自主控制。通過云端和用戶端間合理認證用戶身份。虛擬機鏡像可以輕易存儲和分配，因其需要實施加密處理，防控各種非法授權篡改、替換和訪問，針對相同平臺內多種用戶所持有虛擬化資源實施全面加密處理，針對云計算內各種數據信息實施有效隔離，即便產生用戶資源交互問題，也可以保障信息安全性，減少信息泄露問題，借助完整性保護，方便用戶探測是否產生非授權改變現象。應用完整性保護以及數據加密等密碼技術，聯系內部通信渠道，確保虛擬機和用戶端以及不同虛擬機之間的信息安全傳輸，確保信息傳輸環節不會產生隨意篡改、監聽和信息切取等現象。

1.4 身份認證

云計算系統內，邊界為基礎的安全隔離狀態被進一步打破，云計算系統內各種計算資源和存儲資源開始進行全面整合，進一步模糊了安全域邊界，而原本針對多種不同安全區域設計差異化安全防護的運行策略也無法適用，不同應用歸屬于不同安全域，而不同安全域也全部對本地用戶、資源實施有效管理，用戶需要實施資源跨域訪問，為此選擇跨域、集中式身份認證以及證書交叉認證系統，針對多身份源實施統一身份管理，進一步聯系用戶自身的安全等級差異實現多種等級身份認證，保護好認真信息的完整性和保密性。普遍選擇身份聯盟以及單點登錄措施，確保用戶間能夠方便共享各種認證服務和身份信息，有效縮減重復認證所形成的多余運行開銷問題?；诨旌显颇Ｊ较?，通過私有云承擔其中的大量認證操作。針對內外用戶實施集中、統一身份管理，為集中審計和集中授權奠定良好基礎。授權管理環節，可以通過分級授權以及集中授權管理機制，合理應用多樣授權語言策略，進一步控制內部惡意人員違規操作風險。訪問控制中，系統研究訪問控制技術在云計算系統內的有效應用，打造細粒度、靈活性的訪問控制模塊。

1.5 安全審計

結合云計算系統內的便捷模糊、資源重復應用、海量信息等特征，新時期的安全審計工作也面臨全新挑戰。云計算系統需要合理創建集中、統一的安全審計體系，針對關系到安全問題的各種事件實施全面管理，細致采集各項日志數據，涵蓋用戶授權、認證、資源訪問等動作。相關審計日志對應權限管理需要按照使用權和管理權互相分離的基礎原則，借助加密、簽名等密碼技術保障相關信息數據完整性和真實性，充當電子證據。

2 云計算國產密碼實際應用需求

2.1 國產密碼建設需求

國家密碼相關管理機構十分看重密碼技術，注重云計算以及信息系統中應用各種密碼產品和密碼技術的合規性與安全性，在云計算相關信息技術和基礎設施全面應用、建設發展背景下，各個租戶以及云計算平臺內各種核心系統應該積極迎合我國密碼管理局所提出的商用密碼各項國家標準以及管理要求。除此之外，云計算在實際應用各種秘密技術中需要保障密碼實際利用合規性，確保云平臺建設在密碼設備、密碼算法、密鑰管理等層面合規性，形成完善的運維管理體系，保障密碼服務實際應用安全性，突出密碼服務效能和密碼應用效果，提升云計算可信度、完整性、可靠性、安全性、自主控制性。

我國相關密碼管理機構出于保障密碼算法自主可控性的基礎安全要求，國家密碼管理機構相繼制定各種國產密碼標準，涵蓋SM1、SM2、SM3、SM7、SM4、SM9 等。而上面所說的SM7、SM4 以及SM1 為對稱算法，SM9、SM2 為非對稱算法，SM3 為摘要算法，也可以將其稱作散列算法，下面簡單介紹一下國產密碼算法，其中SM1 為對稱算法，該算法主要通過加密卡、智能密碼鑰匙、密碼機、密碼卡、專用芯片等形式提供。SM2 為公開后的非對稱算法，主要適用于數字簽名、身份認證等安全業務應用場景，能夠有效取代國外RSA 算法。SM3 為公開后的摘要算法，適用于生成消息認證碼、數字簽名、數字認證、數字碼研制和隨機數形成。SM4 為公開的對稱算法，無需設置專門硬件，可以直接用于軟件系統，能夠針對相關數據信息實施全面加解密保護。SM7 為對稱算法，適合IC 非基礎式卡，涵蓋公交一卡通、工作證、門禁卡等業務加密。SM9 為公開非對稱算法，適合電子郵件、云計算等業務場景實施加密通信傳輸。

處于等保2.0 時代，在建設網絡安全系統中需要對密碼建設進行合理規劃。國家在近幾年發展中明確提出應用密碼技術對各種核心數據進行有效保護。信息基礎設施需要嚴格按照法律法規相關要求規定以及國家密碼標準強制性要求合理應用密碼實施保護，同步規劃、建設、運行相關密碼技術保障體系。日常運營中規范云計算相關國產密碼服務應用，保證國產密碼的有效、正確、規范、有序應用，云計算中的國產密碼應用構建十分迫切，為此需要合理創建可靠、安全、自主的云計算國產密碼支撐系統，強化租戶安全和云計算平臺的基礎安全保障。

2.2 物理環境安全和密鑰管理

云平臺主要能夠為各個云租戶提供多樣的云計算資源，云租戶內云系統存在等級保護，為三級系統，為此云計算平臺整體構建中需要以國產密碼算法為基礎打造密碼服務功能性系統，按照密碼在信息系統內的實際應用要求以及第三等級保護要求實施綜合構建。實際建設中所用密碼技術產品需要滿足密碼模塊的安全技術要求，借助國家密碼相關管理機構具體要求對各種硬件進行全面核實，產品應該得到支持SM2/SM3/SM4 密碼算法對應商用密碼相關產品型號證書。

云計算系統平臺和數據中心借助原有物理基礎、設備機房環境安全，通過電子門禁技術檢驗進入人員的真實身份，預防非法人員隨意入內。同時應用視頻監控系統全面記錄相關人員行為。配套設置監控視頻設備以及電子門禁系統，應用各種密碼技術產品保護視頻記錄以及門禁記錄完整性。

等保三級系統初步創建基礎密碼體系過程中需要針對密鑰管理系統整體存儲、生成、導入、發布、應用、導出、恢復、備份、撤銷、歸檔等環節合理制定有效的管理策略，充分迎合GM/T0054 內等保三級密鑰的系統操作要求。云計算平臺內各個云租戶以及密鑰系統應該針對各自所用密鑰體系實施獨立設計規劃部署。

2.3 通信網絡安全

云計算系統中心內建設通信安全網絡過程中需要進一步改善通信數據的完整性、機密性，避免網絡系統內的信息數據傳輸中產生非法截取、非法篡改等問題，進一步針對各種傳輸中的數據信息實施全面加密保護，提升各種傳輸數據信息的機密性，針對加密用密鑰實施非對稱算法保護，做好數據信息摘要，結合摘要校驗，提升數據信息完善性。為此需要合理融入國產密碼技術，針對網絡系統中的各種重要數據信息實施合理保護，保障相關數據的完整性、真實性和隱私性，提升相關數據信息準確性和科學性。并針對密碼技術實際應用合理創建完善的安全防護機制，避免網絡邊界開始消失后會受到各種網絡中的惡意攻擊、非法訪問、網絡欺詐，減少網絡風險風險，降低網絡安全威脅。實施身份認證中，需要以密碼技術為基礎合理應用相應的鑒別措施，確保系統傳輸中各項信息數據保密性，不會使相關信息數據被隨意非法濫用，導致信息泄漏問題。通信環節的各種流通數據需要合理應用密碼技術實施全面保護，避免造成各種敏感信息泄露問題。針對網絡系統內各種安全組件以及安全設備實施科學集中管理時，需要確保安全通道內各項管理數據的有序、穩定傳輸，為此需要借助密碼技術創建安全通道，像是SSL進一步應用國密瀏覽器以及安全網關創建SSL 加密隧道。于終端安全管理層面，應用手機盾系統以及智能密碼鑰匙，融合軟硬件相關密碼技術維系終端系統的安全運行，減少各種敏感信息泄漏，有效防控網絡中的各種惡意非法授權訪問行為。

2.4 計算環境安全

云計算系統相關數據安全和信息應用需要合理解決身份認證、應用數據完整性、保密性以及不可否認性等密碼應用需求。云計算數據系統中的計算安全和中心設備核心內容即訪問控制以及身份認證，訪問控制則是以身份認證為基礎實施的，為此需要合理應用密碼技術針對系統設備中的一般用戶以及管理者進入身份實施有效確認和準確識別，避免網絡中的假冒人員隨意登錄。在身份核驗檢測確認中需要合理應用密碼技術為基礎的鑒別技術實施，確保在傳輸身份檢驗信息中不會產生泄露問題以及非法違規利用等現象。針對應用系統內的資源訪問控制策略、安全策略、數據庫訪問控制像是數據庫安全方案、用戶身份信息、用戶權限列表等重要信息實施合理保護，針對數據標簽等十分關鍵的信息資源實施敏感標記，并做好全面保護管理，避免出現數據違規篡改等現象。重要數據信息，涵蓋但并不限制于核心業務數據、鑒別信息數據、核心審計數據、關鍵視頻數據、基礎配置信息、關鍵可執行程序、核心用戶信息等。需要合理利用先進的密碼技術實施合理保護，避免出現系統數據非法篡改和重要數據泄露等問題。合理應用密碼技術針對數據庫日志和應用系統日志等基礎日志記錄實施合理保護，避免出現數據信息非法篡改等問題出現。針對核心應用系統、關鍵業務系統等核心應用程序的卸載和加載，選擇密碼技術實施合理控制管理，避免關鍵應用程序于加載環節出現隨意非法篡改等問題，保證其穩定運行，不會因為非法入侵而產生停止運行等問題。

2.5 云平臺密碼設置需求

云平臺系統主要包括多樣的分布式服務器系統以及各種運行應用模塊所組成，對于數據信息存儲、資源隔離、數據信息共享、虛擬化和多租戶等所形成的安全問題分析，需要合理應用密碼技術針對用戶資源創建合理的隔離機制，避免相關資源出現非授權訪問問題。為此需要針對各種關鍵數據信息創建加密存儲和數據傳輸機制，提升相關數據信息傳輸、存儲安全性。合理設計統一身份認證體系，對于當前所面臨的海量身份認證挑戰進行合理解決。構建虛擬化的安全管理機制，提升虛擬化安全性。例如虛擬機逃逸、虛擬資源管理、虛擬機遷移等。云平臺需要合理應用密碼技術和相關技術手段預防快照、虛擬機鏡像內所存在各種敏感資源非法訪問問題。合理應用密碼技術以及校驗碼保護虛擬機內數據安全，使相關重要信息數據在虛擬機遷移中不會出現任何缺漏，保障數據信息完整性，一旦發現相關數據信息因為被破壞而產生疏漏，需要立刻采取有效解決策略進行快速恢復。支持云服務客戶對密鑰管理進行科學部署，形成合理解決方案，支持云服務平臺相關客戶實現數據信息的自主加解密處理。

3 云計算國產密碼整體設計路徑

3.1 設計目標

按照我國密碼管理部門各項規定要求，借助完全自主可控防護手段，針對云計算平臺合理開展相關密碼技術應用設計和密碼支撐設計。從邊界接入、用戶終端、網絡系統、云平臺安全管理以及云平臺運行等層面入手，以密碼防護為基礎的網絡系統安全連接和用戶終端的安全防護、云平臺業務安全認證、云平臺安全運行管理、云平臺授權管理等形成有效解決策略。為云租戶、云平臺相關應用系統的可靠、穩定、安全運行提供合理的密碼應用服務，保障云平臺以及云系統達到我國密碼管理部門所提出的數據安全性、完整性和規范應用要求，符合等保2.0 所提出的強制要求。

3.2 系統框架

按照具體規范要求，密切聯系國產密碼未來建設發展中的擴展應用現實需求和整體實施方案規劃部署，云計算平臺相關國產密碼技術應用需要形成完善的保障框架。密碼服務管理平臺以下為密碼支撐環節，可以進一步分為三層形式，分別是密碼服務、云計算密碼資源以及密碼基礎支撐。其中密碼基礎支撐主要包括簽名檢驗服務器、時間戳服務器、安全存儲系統、服務器密碼機等部分構成，并為密鑰管理系統平臺提供了密碼運算基礎資源支持。云計算相關密碼資源主要涵蓋密碼設備各項管理工具、云密碼設備池、密碼支撐為基礎供應密碼設備，為密碼管理平臺奠定良好密碼基礎支持，為云租戶和云平臺提供獨立式密碼資源。密碼服務主要包括密碼管理平臺和多種密鑰服務所構成，借助云計算密碼資源以及基礎密碼支撐為云租戶和云平臺提供相應的密碼服務，并利用安全存儲系統針對相關數據信息實施透明化加密存儲。

密碼服務平臺上層為密碼應用環節，可以進一步分成業務密碼應用、接入和邊界密碼應用、終端密碼應用等，通過密碼管理服務平臺安全中間件調用為訪問控制、身份認證、數據安全、授權管理等，為信息安全功能提供統一的基礎密碼支撐。借助VPN、SSL、VPN、IPSEC 加密網關開展業務終端身份認證和數據信息加密傳輸。

3.3 應用部署方案

云計算相關國產密碼的整體應用建設需要嚴格遵守下列幾項基礎原則，第一是云平臺系統所用密碼資源池應該和供應租戶應用密碼資源池全面分離。第二是一個密碼資源池對應服務范圍的最大規模是一個機房。第三是云平臺為基礎的基礎設施安全支撐平臺應該獨立應用密碼資源池。云計算系統中心還是云加密服務綜合部署中，除了需要對資源池內相關租戶信息進行準確計算，促進密鑰信息和設備信息有效隔離之外，還需要針對云計算內相關國產資源密碼池實施統一監控、管理和運維。云計算國產密碼整體部署方案如圖1 所示。

圖1 ：云計算國產密碼綜合規劃部署方案

云密碼服務方面，針對云平臺以及云計算業務空間對應管理區域內合理設置云密碼資源池，其中云密碼運行資源池可以支持多種虛擬密碼機進行同步運行，針對各個虛擬密碼機實施有效隔離。從云密碼服務相關應用者角度分析，不同租戶可以針對各自運行系統設備實施獨立自主管理，獨自生成和對各自密鑰實施有效管理，并將各個密碼機當成某種獨立性密碼機設備。針對云平臺管理空間中的各個虛擬服務設備中合理設置統一密碼管理平臺。借助統一的密碼管理平臺能夠針對不同云密碼資源實施統一集中管理。云平臺系統相關運維管理人員能夠借助密碼管理平臺對各種密碼設備運行狀態進行全面查看，包括密碼資源池內設置的虛擬密碼機設備數量、虛擬密碼機實際運行狀態。用戶能夠利用統一的密碼管理平臺對各自租用虛擬密碼機實施統一查看和管理。云平臺對應安全管理范圍內設置時間戳服務系統和簽名驗簽服務系統中，可以借助統一密碼管理平臺提供各項密碼技術服務。

設置安全存儲系統，而安全存儲系統主要是以各種安全存儲技術以及密碼技術為基礎，聯系安全控制要求，綜合SAN 安全存儲、NAS 安全存儲等功能的信息安全存儲系統，不但能夠面向文件實施網絡安全存儲，同時能夠面向塊構建安全存儲網絡，能夠針對信息系統的傳輸數據實施透明加密存儲。信息安全存儲系統主要包括客戶端軟件和服務端密碼技術硬件等部分構成，能夠支持國產密碼相關技術算法。

密碼安全網關方面，在云計算核心網絡系統內分別部署VPN、SSL、IPSEC VPN 加密網關，應用國產密碼算法SM2/SM3/SM4 更好保障信息數據傳輸的完整性和機密性，支持業務終端順利實現數據加密傳輸和身份認證。為進一步改善相關信息數據安全性，需要合理應用加密網關，不斷接近服務器，加密通道相對較長，在核心交換機中合理鏈接VPN、SSL 加密網關，促進實現集群化運行。

于業務終端順暢接入，云租戶云業務對應設備終端合理配置密碼鑰匙，同時于移動終端設備中合理設置手機盾，為業務終端實施云計算數據中心訪問對應服務器能夠提供數字證書為基礎的身份認證以及SSL 加密傳輸功能。結合新時期的云計算發展所面臨的安全形勢分析，國產密碼技術是幫助云計算系統解決信任、安全問題的重要措施。聯系等保2.0要求，于云計算全過程生命周期內，全面落實國產密碼的三同步一評估要求，促進云計算和國產密碼實現融合建設發展，打造國產密碼為基礎的云計算安全防控機制，這也是打造安全、可靠、穩定云計算服務系統的基礎手段。

4 結語

綜上所述，為促進云計算平臺以及廣大云租戶順利實現國產密碼安全可靠性和自主可控性，需要針對云計算平臺相關密碼支撐系統等基礎設施建設進行系統研究，充分掌握云租戶相關密碼應用需求，指導合理建設，聯系當下社會針對網絡安全等級所提出的全新要求，積極研究云計算國產密碼相關構建技術策略，提升整個云計算系統內的數據信息流通、應用安全性。