在云計算環境下密鑰應用服務的管理設計與實現

潘維勇　袁聿卿

摘 要：該課題研究云平臺基于密鑰應用服務和管理，為每個云服務應用用戶方擁有自己服務和應用的密鑰，以完成基于密鑰的登錄、認證和訪問控制，提供多種面向服務的密鑰應用服務和管理，特別是采用集中式基于云平臺的密鑰應用服務配置和管理，完成對多個應用服務基于密鑰應用服務，尤其是在現有應用服務基礎上進行改進，提供密鑰服務配置功能，對于密鑰的算法、強度和用途進行配置和實現。通過對于平臺內部針對平臺內部虛擬主機的相互認證的問題的研究，以及主機上承載的應用數據的保護需求分析，設計平臺內基于密鑰應用的服務管理、密鑰協商機制以及密鑰的認證，最大限度的解決平臺主機和應用安全保障的功能性和性能的需求。

關鍵詞：密鑰管理 密鑰算法 密鑰服務配置

中圖分類號：N94 文獻標識碼：A 文章編號：1672-3791（2015）11（c）-0013-03

該文研究云計算環境下以密鑰管理的核心基礎，為云計算環境提供平臺級密鑰應用服務，其功能包括物理密碼設備對接與管理，密鑰生成管理，密鑰備份管理，密鑰發放管理等。同時，密鑰管理中心還要符合嚴格的密鑰管理制度，保證密鑰的服務的安全穩定運行。

該文設計以密鑰管理中心提供的密鑰服務為基礎，以配置服務、分級管理的方式為各安全支撐服務提供不同級別的密鑰應用服務，密鑰管理應用范圍包括身份認證應用服務（公鑰基礎設施CA）、數據保護服務（加解密引擎應用服務）、時間戳服務、虛擬主機防護（主機身份認證）和VPN服務等。

該文研究按照國家保密局及有關部門的規定，密鑰管理中心需要部署在保密機房，并提供特定的安全域，密鑰數據存儲區、安全管理域和安全基礎設施域。

1 設計目標

密鑰應用服務和管理時針對基于服務的用戶或租戶，平臺對外或者內部的相互認證的問題，主要包括了主機上承載的應用數據的保護，通過制定基于密鑰應用的服務管理、密鑰協商機制以及密鑰的認證，最大限度的解決平臺主機和應用安全保障的功能性和性能的需求。

該課題研究的目的在于解決基于服務的密鑰應用和管理，提供了一種密鑰應用服務機制，以解決在多租戶情況下的應用服務的認證和訪問控制，并對于基于密鑰的應用服務結構進行優化，以解決域內用戶對應用服務認證和訪問控制可信問題。

為實現上述目的，該課題研究的密鑰應用服務和管理系統，包括密鑰應用服務配置管理子系統、密鑰庫管理子系統、密鑰服務接口。

（1）密鑰應用服務配置管理子系統提供主機、應用服務認證配置和數據保護傳輸和存儲密鑰服務配置管理。根據密鑰服務管理流程規范和密鑰管理流程規范，由加解密引擎訪問密鑰服務提供密鑰服務。

（2）密鑰庫管理子系統通過密鑰與認證適配器適配不同的密鑰來源，這些密鑰來源包括：軟密鑰庫、密鑰設備與第三方的密鑰服務，主要包括了主機密鑰、應用服務密鑰、數據加密密鑰等的密鑰應用配置，并將密鑰本身的密鑰算法、強度和用途進行細顆粒度的配置。

（3）密鑰服務接口則通過密鑰管理接口對外提供認證、數據傳輸以及數據儲存的密鑰服務，密鑰服務管理模塊則對這些服務進行管理。

2 設計思路

傳統意義的VPN均為軟硬一體的系統，即硬件和軟件綁定在一起，軟硬一體的VPN系統會帶來諸多問題，例如：系統部署復雜、易用性差等；并且每個VPN系統對應各自的用戶管理系統，這樣如果僅僅存在只部署一套VPN系統的話，不會出現什么問題；但是如果存在需要同時部署多套VPN系統的情況下，將會出現如果同時對多個VPN系統做統一的用戶管理以及對多個VPN服務和多個VPN管理員做統一管理的問題；在現如今的云計算的環境下，大多數的業務系統都是在虛機下部署，這也是當前的VPN系統不符合要求的諸多弊端之一。

因此，在云計算數據中心的應用場景下，VPN系統應該滿足：支持在虛機下部署；支持多租戶、多VPN實例的情況；滿足可以對VPN服務資源實時動態分配；VPN系統可以組件化快速部署；各個租戶必須獨享VPN系統等諸多要求。

3 設計內容

3.1 設計說明

（1） 采用分級分層次結構進行設計：由于平臺用戶數量龐大，涉及的行業較多，總的密鑰量較大，因此，初步考慮，將密鑰管理系統分成兩級：密鑰管理中心和密鑰管理系統（分為省、市兩級二級密鑰管理中心）。分層次包括系統級密鑰管理和應用級密鑰管理。

（2） 采用集中與分布相結合的方式：將采用集中與分布相結合的方式，整個系統的密鑰管理實現“集中控制、分布管理”。密鑰管理的集中控制權集中在密鑰管理中心，負責密鑰的注冊和生命周期的管理；分布管理各層次應用密鑰的使用范圍、對象、流程節點和密鑰加解密強度。

（3） 采用對稱技術進行密鑰管理：全系統密鑰管理將采用對稱技術（即對稱加密算法）實現數據傳輸、存儲和交換過程中的數據加解密服務，保證可達到保密和高效。

（4） 采用“種子”和衍生（分散）技術生成系統的各級密鑰：譬如，由多個“種子”生成一級密鑰管理中心的根密鑰，再由根密鑰根據分散原則，衍生生成各種類型的通用主密鑰，而后再由這些通用主密鑰衍生生成各種類型的應用主密鑰等等。

3.2 設計結構

密鑰應用服務管理的實現由密鑰服務管理配置、密鑰庫管理、密鑰服務接口和密鑰管理四部分組成。

（1）密鑰設備和密鑰軟庫的接入管理配置是由密鑰管理完成。密鑰管理會集成適配密鑰設備和密鑰軟庫，并接入密鑰應用服務管理中，當用戶使用主機設備、應用或數據時，提供基于密鑰加密和認證機制，以保障在可信的環境。

（2）圖1中密鑰管理適配接入，其特征是接口將密鑰設備和密鑰軟庫進行適配，并配置管理，以支持不同密鑰設備的接入集成，并基于密鑰應用的配置。密鑰設備或軟庫在接入時，注冊和標示該密鑰設備或軟庫，并對設備或軟庫中產生的密鑰進行唯一標示管理。