云密碼資源池應用實踐

劉會議

摘要：云計算所具有的虛擬化、多租戶、彈性計算等特點對安全提出了更高的要求，傳統密碼設備的應用模式在云計算環境中遭受了巨大的挑戰。云密碼資源池將密碼資源作為云環境中基礎資源，具備硬件虛擬化，密鑰隔離，彈性計算，遠程管理和訪問控制等特點，經實踐論證，云密碼資源池的應用模式可以有效適用于云計算環境對密碼應用的安全要求。

關鍵詞：云計算;密碼應用;虛擬化

中圖分類號：TP309 文獻標識碼：A 文章編號：1007-9416（2019）08-0171-02

0 引言

習總書記在中央網信領導小組成立時提出“沒有網絡安全就沒有國家安全”，給網絡安全工作確定了框架性的總基調，將信息安全提升到了國家安全的戰略層面。在國家信息化發展的進程中，云計算、大數據、物聯網等新興技術正在不斷帶來新的技術變革，新興技術在給經濟發展帶來巨大持助的同時，也帶來了巨大的攻擊風險，因此，密碼技術作為核心的保護手段變得至關重要。近幾年方興未艾的云計算技術，徹底顛覆了IT行業的面貌，云計算通過虛擬化技術打破原有的基礎設施壁壘，通過整合各種資源（計算資源，存儲資源，網絡資源等），將資源使用方式由原有獨享式變為共享式，資源可以根據實際業務情況進行動態調整、隨需而變，最大限度的提高資源的利用率，實現資源的集約化管理與使用。傳統密碼設備如何適應云計算這種新型的技術形態成為大家關注的焦點。

1 傳統密碼應用模式

密碼作為信息安全中的核心基礎支撐技術，通過不同密碼技術的組合構建演化出了較為完整的安全防護核心脈絡。在傳統密碼設備應用模式中，如圖1所示，可以從幾個維度分析其應用特點：從功能區分上分析，密碼設備作為特定的功能模塊提供標準的密碼運算服務;從產品形態上分析，密碼設備以專用產品的形態部署在需要保障的地方，如業務機房或數據中心等;從部署模式上分析，采用專用的密碼設備與業務系統進行背靠背直連方式部署，密碼設備提供的密碼運算功能被業務系統獨占;從網絡位置上看，其所屬的位置位于核心業務系統背后，僅對核心業務系統提供服務，因此傳統密碼設備不支持遠程管理。

2 云環境中密碼應用面臨的挑戰

云計算平臺由眾多分布式服務器和相應的系統構成，面臨資源隔離、數據共享、多租戶、虛擬化等帶來的安全問題，其中包括：需要應用密碼技術建立用戶資源隔離機制，防止資源非授權訪問;需要建立數據加密存儲和傳輸機制，保障數據存儲和傳輸安全;需要建立統一身份認證機制，應對海量身份認證問題;需要建立虛擬化安全機制，保障虛擬化安全等，這一系列安全需求，都需要安全可靠的密碼運算資源提供支撐。而傳統的密碼設備應用模式已經無法適應云計算環境，主要包括如下幾方面：（1）虛擬化：云計算中的業務應用系統主要采用資源虛擬化提供服務支撐，傳統背靠背直連方式的密碼設備部署模式已經無法適用于云中虛擬化的應用模式，所有的應用調用都必須采用網絡調用的形式進行調用，且需要保證不同的虛擬化業務資源配備隔離專用的密碼資源。（2）彈性計算：彈性計算是密碼服務的一個典型特征，在業務高峰到來的時候云計算環境可以快速擴充較多的計算資源應對業務高峰，業務高峰的出現同樣代表著對密碼運算資源的高峰需求，傳統的獨享式密碼應用模式無法提供動態調整的密碼運算能力。（3）遠程管理：云計算服務中一般支持多租戶能力，同時對租戶提供的密碼資源，租戶需要具備完整的密鑰管理權，包括密鑰的產生、分發、運算、更新以及銷毀等，安全的遠程密鑰管理是密碼在云中應用的基本要求，遠程管理要求具備完備的身份認證機制，而傳統密碼應用對該能力存在明顯欠缺。

3 云環境中密碼應用模式

為了充分適應云計算環境中的安全需求，將密碼資源作為云中基礎資源構造出適用于云環境的云密碼資源池是最佳的云中密碼應用模式，云密碼資源池的能力需求，如圖2所示，需要重點考慮滿足如下幾點基本要求：（1）支持硬件虛擬化。硬件虛擬化是實現云密碼資源池的的關鍵核心技術之一，通過虛擬化技術可實現密碼設備資源的統一虛擬化和池化，虛擬密碼資源則作為云計算環境中的密碼資源提供單元。密碼卡作為眾多密碼設備的核心基礎密碼部件，支持硬件虛擬化的密碼卡可以自下而上提供云中全鏈路的硬件級密鑰保護，基于硬件隔離的密鑰保護可以有效服務于桌面虛擬化，服務器虛擬化等云計算應用場景，保證各個虛擬業務單元獨享安全密碼服務，以SR-IOV硬件虛擬化技術為代表的密碼卡實現能夠提供最高安全等級的密鑰保護。（2）支持彈性計算。利用虛擬化技術可以將虛擬化密碼設備統一成為云密碼資源池，通過密碼資源調度系統根據業務壓力對密碼資源進行動態的擴展、分配、管理和統一調度，并對外提供統一的密碼服務，當業務高峰到來時，可以利用彈性計算的特點，調度更多的密碼資源滿足業務需求，保證業務穩定運行。（3）支持密鑰隔離。云中業務復雜多樣，根據不同的安全需求，云密碼資源池需要提供多種不同安全等級的密鑰隔離機制。其中基于硬件虛擬化技術實現的密鑰隔離能夠在云計算環境中提供最安全、可靠、合規的密鑰保護，基于硬件隔離的密鑰作為云中可信根可以為用戶或業務系統在云計算環境中構造出獨享專屬的密碼資源。（4）支持遠程管理。云密碼資源池的運維管理可根據實際需要與云服務商分配運維責任，并且用戶對密鑰的運維管理只能遠程進行。通常情況下，密碼硬件基礎設施和基礎網絡的運維管理由云密碼服務商或云計算服務提供商提供，用戶更關注密鑰管理、安全策略配置及安全審計等方面的運維管理。云密碼資源池的遠程管理需使用PKI或其他身份認證技術、SSL/TLS安全通信技術等保證遠程管理的安全性。（5）支持訪問控制。云密碼資源池不同于傳統的密碼設備單一、可控的安全部署模式，其靈活性、遠程性、遷移性都會帶來更高的風險。訪問控制作為云密碼資源池提供的密碼服務中接入服務的關鍵一環，應結合多種認證模式基于角色、服務、身份的對云密碼服務進行訪問授權控制，對于不同的業務服務模式，采取最合適的訪問控制機制，同時，借助訪問控制機制，為云中密碼服務的全鏈審計提供有效的技術支撐。

4 結語

為積極應對解決云計算時代的安全問題，國家商用密碼管理局成立了云計算和大數據工作組，從云計算相關密碼標準、密碼技術、密碼應用、密碼產業等多個角度體系化解決云計算時代的安全問題。以北京三未信安科技發展有限公司為代表的密碼安全服務廠商在云密碼資源池的應用實踐中做出了卓有成效的探索，該公司以云服務器密碼機（商用密碼產品型號：SJJ1601）為基礎的云密碼資源池在上海政務云、電信天翼云中為云計算提供了可靠的密碼服務支撐，典型部署架構如圖3所示。經過實踐應用，以具備虛擬化能力的密碼設備為基礎構建貼合云計算需求的云密碼資源池是當前密碼設備在云環境中的最佳應用實踐。

參考文獻

[1] 何明，王海燚，沈軍.云數據中心密碼服務技術研究[J].廣東通信技術，2017（11）：34-36.

[2] 張晏，岑榮偉，沈宇超.云計算環境下密碼資源池系統的應用[J].信息安全研究，2016（06）：558-561.

[3] 田景成.云計算與密碼技術[J].信息安全與通信保密，2012（11）：132-134.

[4] 馮登國，張敏，張妍，徐震.云計算安全研究[J].軟件學報，2011（01）：71-83.

[5]容曉峰，李增欣，郭曉雷.密碼服務系統研究綜述[J].計算機安全，2010（03）：62-66.

Research on Key Technologies of Cryptographic Application in Cloud Computing

LIU? Hui-yi

（Beijing Sansec Technology Development Co.， Ltd.， Beijing? 100102）

Abstract：Featuring virtualization， multi-tenancy， elastic computing， etc.， cloud computing presents higher requirements for data security. The application of traditional crypto devices has been greatly challenged in the cloud computing. The cryptographic resource pool uses crypto resource as the basic resource in cloud， and has features of hardware virtualization， key separation， elastic computing， remote management and access control. It is demonstrated in practice that the application of cloud cryptographic resource pool is applicable for the cryptographic security requirements in cloud computing.

Key words：Cloud Computing;Cryptographic Technique;Hardware Virtualization