信創與密碼應用論壇（杭州）-徐淑卿《密碼服務平臺應用實踐分享》（15頁）.pdf

1、密碼服務平臺應用實踐分享The Pratice Sharing of Cryptography Service Platform徐淑卿Xu Shuqing產品總監Chief Product OfficerCONTENTS目 錄01.云上業務密碼建設背景密碼政策驅動，密碼技術為數據安全保駕護航02.密碼服務平臺應用與實踐以集約化的建設理念，搭建密碼服務平臺，以服務的方式向多租戶提供各類密碼服務03.平臺成果與實踐效益滿足云上系統在商用密碼應用安全性評估的需求，建立密碼保障體系2022 WEST L AKE CYBERSECURIT YCONFERENCE01云上業務密碼建設背景密碼政策驅動，密碼

2、技術為數據安全保駕護航01.密碼政策相繼出臺01.業務上云 如何正確、高效應用密碼用的不夠“對”算法風險：使用MD5、SHA-1、RSA1024等不安全不可靠的算法的情況仍然存在 覆蓋不完善：僅在部分環節應用密碼技術，重要日志、重要文件未加密較為普遍，存在繞過安全防護措施獲取明文數據的可能 認證鑒權不可靠：對關鍵行為、重要文件發布等行為認證鑒權有空白或強度偏低，發生安全事件后存在抵賴空間，難以溯源問題 密鑰管理不當：在實際使用中，存在系統無法對密鑰的全生命周期進行管理的情況，一旦密鑰外泄，后果不堪設想如何高效應用？資源浪費：云上系統種類繁多，若一 一進行密碼建設容易形成資源浪費，且部署復雜度提

3、升 改造工程量大：密碼設備普遍需要接口集成，業務系統需要二次開發，改造工程量大，且存在部分業務系統不再具備改造能力 對接成本大：目前密碼廠家、設備種類多樣化，業務系統在進行密碼建設時，需對接各類型密碼設備，對接成本大 缺乏統一管理：在多密碼設備的情況下，難以對云上系統調用的密碼服務進行統一管控；缺乏安全運營機制，難以形成安全事件處置閉環02密碼服務平臺應用與實踐以集約化的建設理念，搭建密碼服務平臺，以服務的方式向多租戶提供各類密碼服務02.密碼服務平臺是當前云上密碼建設最優選通過國產密碼算法與密碼技術，實現重要數據在傳輸、存儲等場景中的安全防護數據安全防護根據密碼應用國家標準要求，建設物理、網

4、絡、設備、應用四位一體的密碼保障體系國密體系建設具備密碼能力整合、服務輕量化、管理統一的優勢，可一站式滿足用戶多樣化的密碼應用需求，云上業務實現密碼應用的普遍選擇。密碼服務平臺方案針對于國密改造難度大的問題，提供多種輕量化改造的解決方案，無需業務系統二次改造輕量化改造模式02.密碼服務平臺架構設計平臺定位密碼服務平臺，面向專有云平臺云上系統提供集中化、虛擬化、透明化的密碼服務核心能力面向各租戶的信息系統提供多種密碼服務，以服務調用的形式，滿足密評要求各租戶能夠自由調度其下信息系統所使用的密碼資源，實現密碼資源的統一調度與管理各類密碼服務與底層密碼資源的監測預警02.密碼服務調用 滿足密評需求線

5、上提供各類密碼資源的申請服務各租戶根據被測信息系統所需要的密碼資源情況，在線上申請所需的密碼服務，并實現密碼應用改造，即可滿足密評要求。傳輸加密服務：為多類型的終端提供傳輸加密服務，包括需集成改造的字段級傳輸加密、通過網絡配置修改的流量攔截式加密；存儲加密服務：提供不同顆粒度的存儲加密服務，包括需集成改造的字段級存儲加密、通過安裝加解密軟件的表級別存儲加密。02.密碼服務業務流密碼資源池云服務器密碼機傳輸透明加密系統密鑰管理服務器SSL VPN安全網關簽名驗簽服務器時間戳服務器密碼應用服務密鑰管理服務傳輸加密服務存儲加密服務身份認證服務數字簽名服務時間戳服務完整性校驗服務安全通道服務云資源池租

6、戶A租戶B租戶C租戶D虛擬密碼機VPN實例密碼系統實例平臺管理密碼服務平臺管理后臺統一密鑰管理平臺密鑰管理服務開通資源管理租戶平臺管理員服務說明：用戶登錄身份認證服務：數字證書國密驗證碼協同簽名認證掃碼信息傳輸傳輸加密服務：SDK集成，字段加密流量攔截，透明加密安全通道服務：信道加密信息存儲存儲加密服務：SDK集成，字段加密軟件安裝，透明加密關鍵操作數字簽名服務、時間戳服務：SDK集成，行為抗抵賴數據完整性完整性校驗服務：SDK集成，HMAC校驗數字簽名服務：SDK集成，簽名驗簽02.密碼服務平臺建設模式以應用為起點 共同推進平臺建設l H市數據資源管理局l S市大數據發展管理局以平臺為起點

7、推進應用接入l K市工業和信息化管理局l Y省地礦測繪院l C市政務平臺先基礎后豐富先大而全后擴容02.模式一：以應用為起點 共同推進平臺建設l 根據文件要求，結合當地市政務云網絡環境部署基礎版密碼服務平臺，確保服務可用l 選擇業務系統，通過密碼改造，滿足密評需求l 項目后期能夠根據個性化系統的情況，逐步完善密碼服務平臺的各項密碼服務（豐富密碼資源池、平滑擴容）密碼設備備注密碼服務平臺密碼服務平臺專用硬件/API網關實現準入控制、負載均衡、流量控制功能管理節點各類密碼資源的動態調度、密碼資源的監測預警密碼資源池服務器密碼機字段級加密、完整性校驗服務傳輸透明加密系統透明傳輸加密服務協同簽名系統身

8、份認證服務密鑰管理系統密鑰管理服務SSL VPN安全通道服務一期規模項目成果密碼服務平臺已在政務云部署了密碼資源池，并逐步開展云上業務系統的對接工作核心訴求02.模式二：以平臺為起點 推進應用接入l 結合政務云架構，搭建密碼資源池l 各類密碼服務需能確保多類型業務系統的密評需求l 一期建設的資源池體量能夠滿足兩個系統的密評需求l 通過打造密評樣板間，促使多個云上系統來調用密碼服務核心訴求根據GB/T39786-2021信息安全技術信息系統密碼應用基本要求，需要在政務云搭建密碼資源池，組建各類密碼服務，為云上系統提供合規的密碼服務 一期規模密碼服務平臺建設清單序號產品名稱單位備注1密碼服務平臺套

9、管理后臺2統一密鑰管理平臺套軟件3軟件密碼模塊套軟件（應用系統集成）4數據庫加密軟件套軟件（安裝在數據庫中）5密鑰管理系統臺密碼資源池6協同簽名系統臺密碼資源池7傳輸透明加密系統臺密碼資源池8云服務器密碼機臺密碼資源池9SSL VPN安全網關臺密碼資源池10USBKey個密碼資源池11簽名驗簽服務器臺密碼資源池13時間戳服務器臺密碼資源池項目成果密碼服務平臺已在政務云部署密碼資源池，并通過兩個系統（B/S架構、C/S架構）打造密評樣板間項目背景03平臺成果與實踐效益滿足云上系統在商用密碼應用安全性評估的需求，建立密碼保障體系03.平臺成果與實踐效益平臺成果 以服務面向租戶與系統：租戶無需考慮設

10、備選型、部署等問題，只需從自身系統的密碼應用需求出發，選擇所需密碼服務，對接密碼服務平臺，即可滿足密評要求。覆蓋面廣、支撐力度大：對比單一系統的密碼建設，平臺充分利用密碼資源并支持平滑擴容，各項密碼服務能夠滿足云上多行業、多類型、多場景的信息系統的密碼應用需求。實踐效益“集約化”理念：減少了租戶為滿足密碼應用安全性評估的需要而重復投資密碼基礎設施，避免了安全系統的重復建設，節省密碼應用領域的建設成本。輕量化改造模式：提供無需系統集成改造的透明化密碼服務，能夠應對多類型、多樣化的信息系統的密評需求，減少系統二次改造的成本。彈性可擴容：平臺支持彈性擴容，滿足功能不斷擴展以及系統容量和用戶數量不斷增長的要求，使系統不會因將來內容和功能上的擴充而導致數據安全需求無法滿足的情況。