鐵路行業密碼云服務管理平臺設計

尹虹

摘要：隨著我國的快速發展，國產密碼技術的應用對于信息的保護越來越重要，我國關鍵信息基礎設施的建設已進入到了各行各業，其中，鐵路行業信息系統是我國尤為重要的關鍵信息基礎設施。傳統的信息系統由于是分別建設的密碼服務功能，有著較多的問題，如易發生安全隱患、建設重復和專業性較差，以及后期維護成本較高等。服務平臺為進一步提升應用系統的開發效率，將提供模塊化的密碼服務給該企業全部的信息系統，具體是從鐵路的信息安全架構實踐的基礎上，在每一個應用系統中進行密碼應用解耦合，實現參數化、組件化、智能化與標準化，從而大大地保證了商業鐵路網絡和信息系統的安全。

關鍵詞：云密碼服務;虛擬化;密鑰管理

中圖分類號：TP311? ? 文獻標識碼：A

文章編號：1009-3044（2022）03-0066-02

開放科學（資源服務）標識碼（OSID）：

在當今數字化的大勢下，鐵路行業業務也開始信息化。但鐵路的信息系統已遭受不法分子攻擊，構成我國極其關鍵、重要的網絡安全威脅。密碼技術作為保護關鍵信息基礎設施保護的基石[1]，需合理規劃才能切實地保護鐵路行業信息安全，鐵路行業信息系統數量眾多，系統建設通常按照自行的需求建設開發，各自進行密碼實現，但分散式的密碼技術開發也逐步暴露了諸多問題。

1）它的實現主要取決于關鍵技術人員自身的經驗、技術能力以及安全認識。通常存在密鑰管理不善、計算參數不合理等問題，易引發安全隱患。加密需求發生變化后，難于靈活地處理等問題;

2）獨立系統的密碼運算無法應對業務峰值;

3）在添加新的加密算法的情況下，由于當前密碼服務基礎設施建設有重復，專業化程度較低，從而導致工作量增多;

4）在密碼策略需要更新的情況下，由于沒有統一、集中的管理，更新時較為復雜困難，也易發生遺漏，進而造成安全隱患。

密碼技術是最基本的安全服務之一，通過提供簡單且易用的密碼服務接口，在每個應用中進行密碼應用解耦合，實現標準化、組件化、智能化與參數化[2-4]，進而為企業的整體信息系統提供基于組件式的密碼服務，經過集中策略管理和控制，實現密碼算法透明化，密碼策略的集中管理和控制、密碼計算能力的統一調度[5-7]。

1 云環境中密碼服務現狀

美國國家標準與技術研究院關于《云計算標準報告》（2011年發布）[8]提供云應用安全、云數據安全與云虛擬化安全共同組成云安全，分別從可信終端、數據存儲的可靠性與安全性、硬件設備的虛擬化三個角度共同描述了云安全[9]。相關從業人員分別從云數據、云應用、云虛擬化提供各類云安全的策略。目前，云安全的解決方案主要基于云密碼服務實現。相比傳統密碼設備，云密碼服務技術提升了密碼資源試用的高效性與可擴展性。但同時，將虛擬化技術與傳統的密碼設備結合，將產生新的密鑰安全的挑戰。

2 虛擬化技術理論基礎

虛擬化技術[10]是云計算關鍵技術，將過剩的物理計算資源，試用虛擬化的技術，以虛擬資源的方式提供給用戶。該技術通過將虛擬化資源構建出底層硬件資源[11]，能為上層計算提供虛擬硬件資源。

3 密碼資源池管理的設計

將底層密碼設備虛擬化是密碼資源池的重要功能，資源池內的密碼資源開展物理集群管理，虛擬網絡管理中的運維管理，以及虛擬密碼機的創建與銷毀。

3.1 物理密碼機虛擬化設計

云管理平臺能使用接口訪問的形式管理密碼資源池。虛擬密碼機運算流程圖具體見圖1所示。

3.2 虛擬密碼機管理的設計與實現

虛擬密碼機的生命周期狀態與各狀態之間的轉換具體見圖2所示。其創建、運行、掛起及銷毀等狀態由物理密碼機虛擬化管理實現。

4 密鑰管理系統的設計

除了向來訪用戶進行身份驗證外，密鑰管理系統將云密碼服務平臺中密鑰生命周期的各個環節開展統一集中安全管理，包括密鑰的產生、分發、處理、存儲和銷毀等，制度化和流程化的密鑰安全管理使得云密碼服務平臺的安全性得到極大的提升。

4.1 密鑰分級保護策略的設計

密鑰的安全關系到整個云密碼服務平臺的安全，平臺內密鑰按性質可分為可傳輸密鑰與不可傳輸密鑰兩類，按功能可分為用戶主密鑰、數據加密密鑰、虛擬密碼機公私鑰對、密鑰管理系統公私鑰對。其中可傳輸密鑰有用戶智能密鑰鑰匙中加密后的用戶主密鑰、密鑰管理系統中的公鑰與加密后數據加密密鑰、密碼機中的公鑰;不可傳輸密鑰有用戶智能密鑰鑰匙中用戶主密鑰、密鑰管理系統中的私鑰與數據加密密鑰、密碼機中的私鑰。

1）用戶主密鑰存儲在云密碼服務平臺用戶的智能密鑰鑰匙內，密鑰管理系統公鑰加密保護用戶主密鑰，進行合法性身份認證，對加密后的用戶主密鑰進行下載、存儲;

2）用戶主密鑰通過密鑰管理系統私鑰進行解密來獲得。用戶主密鑰解密加密后的數據加密密鑰，獲取數據加密密鑰;

3）虛擬密碼機公鑰來加密數據加密密鑰，傳輸至虛擬密碼機中;

4）虛擬密碼機獲得加密過數據加密密鑰，使用私鑰進行解密，得到明文數據加密密鑰以后，提供數據加解密的服務。

4.2 密碼服務流程

云密碼服務平臺的密碼服務流程：

1）首先用戶登錄，平臺識別將用戶身份合法與否;

2）通過合法性身份認證后，云密碼服務平臺將用戶請求發送至平臺的調度管理模塊中，并同步提醒用戶下載用戶主密鑰;

3）云密碼服務平臺按照資源調度模塊的結果，從密碼資源池內選擇所需的物理計算資源集群，再在物理計算資源集群內選擇合適的密碼機類型;

4）新計算任務啟動時，用戶對認證模塊申請合法性認證，返回結果，確認下載用戶主密鑰;

5）在智能密鑰鑰匙內完成加密用戶主密鑰下載，存儲于密鑰管理系統中，并使用數據加密密鑰進行解密;

6）密鑰管理系統接收申請，下載數據加密密鑰;

7）資源監控模塊收集密碼機的狀態信息，通過信息統計分析提供了安全保障。

4.3 密碼服務應用的設計

云密碼服務平臺系統內各用戶均使用自己的智能密鑰鑰匙儲存其用戶主密鑰，是采用非對稱加密體制，用戶能夠用不同的虛擬密碼機實現數據的密碼服務任務，如加解密等。

云環境下用戶主密鑰信息一致時，能夠用各類虛擬密碼機將文件執行加密解密的操作。

1）用戶A發送用戶ID與明文，至虛擬密碼機1;密鑰管理系統發送用戶A公鑰至虛擬密碼機1，加密明文，將密文返回用戶A;

2）用戶A發送用戶ID與密文，至虛擬密碼機2;密鑰管理系統發送用戶A私鑰至虛擬密碼機2，解密密文，將密文返回用戶A。

5 云管理平臺的設計與實現

云管理平臺為平臺管理員和用戶提供Web服務。為Web服務經典三層結構，主要能夠保障完全解耦前臺、后臺業務，對系統開發以及后期拓展起到了便捷的作用。采用三層架構來滿足云管理平臺功能實現的需求。

1）前端展示層主要提供：用戶身份驗證的登錄界面、計算資源負載監控界面、資源管理界面、密碼服務應用界面;

2）中臺控制層主要實現：計算請求并處理完成該請求，包括操作請求與身份認證請求、密碼計算資源負載監控數據申請請求，核查計算請求;

3）服務底層主要提供：密碼資源池的標準格式程序接口，從而實現云管理平臺所有的管理功能。

6 總結

企業級的密碼服務平臺給鐵路行業的信息系統實現了豐富可用的、全面統一的以及完整的密碼安全機制，用組件化的方式實現集中整合當前分散部署的密碼模塊，提供了一致的、靈活的安全服務，從而實現信息安全從分散的管理模式轉型至集中的管理模式，進一步降低開發信息系統項目內密碼應用工作復雜度，增強鐵路行業網絡和信息安全的整體服務水平，提升安全管控的能力。

參考文獻：

[1] 沈昌祥，公備.基于國產密碼體系的可信計算體系框架[J].密碼學報，2015，2（5）：381-389.

[2] 金磐石.構建“安全即服務”的安全架構[J].中國金融電腦，2014（12）：23-25.

[3] Furfaro A，Garro A，Tundis A.Towards security as a service （SecaaS）：on the modeling of security services for cloud computing[C]//2014 International Carnahan Conference on Security Technology （ICCST）.October 13-16，2014，Rome，Italy.IEEE，2014：1-6.

[4] Hussain M，Abdulsalam H.SECaaS：security as a service for cloud-based applications[C]//Proceedings of the Second Kuwait Conference on e-Services and e-Systems - KCESS '11.April 5-7，2011.Kuwait City，Kuwait.New York：ACM Press，2011：1-4.

[5] Guide for assessing the security controls in federal information systems and organizations[R].National Institute of Standards and Technology，2010.

[6] Guide for assessing the security controls in federal information systems and organizations[R].National Institute of Standards and Technology，2010.

[7] CSF Assessors.Common Security Framework[R].USA Health Information Trust Alliance （HITRUST）， 2009.

[8] National Institute of Standards and Technology.The NIst Definition of Cloud C ting. Technical Report， No. 800-145， 2011[EB/OL].[2021-05-30].http：//csrc.nistgov/publications/nistpubs/800-145/sp800-145.pdf.

[9] 張玉清，王曉菲，劉雪峰，等.云計算環境安全綜述[J].軟件學報，2016，27（6）：1328-1348.

[10] wikipedia.Virtualization[EB/OL].[2021-05-30].http：/en.wikipedia.org/wiki/virtualization， Sep20， 2018.

[11] 彭曉平，張雪堅，黃波.基于KVM的虛擬化技術研究[J].中國新通信，2017，19（20）：77-80.

【通聯編輯：梁書】