鐵路商用密碼應用體系研究

王 冰，代 嬌

（中國鐵路信息科技集團有限公司，北京 100844）

密碼技術是保障網絡安全的核心技術和基礎支撐。進入新時代以來，我國對網絡合規管理的要求逐步增強，密碼工作面臨諸多問題和挑戰，建設自主可控、安全領先和整體合規的密碼體系迫在眉睫。鐵路是國家重要的基礎設施，是國家發展戰略的重要組成部分，在綜合交通運輸領域發揮著重要作用，鐵路網絡安全與國家安全緊密相連，與全國人民人身和財產安全緊密相連，加強和完善鐵路商用密碼應用體系建設刻不容緩。

1 鐵路商用密碼應用現狀

鐵路信息系統覆蓋范圍廣，信息技術應用豐富，軟、硬件產品種類繁多。其中，涉及的商用密碼產品主要有服務器密碼機、虛擬專用網（VPN，Virtual Private Network）設備、簽名驗簽服務器、時間戳服務器、密碼存儲卡、數字證書及各種專用設備的加密卡（單元）等。但總體來看，商用密碼設備和部件的應用范圍較小，僅在少數信息系統中使用，且密碼應用缺乏統一的規劃和管理，未形成統一共享的密碼服務能力。

經過多年建設，鐵路建成了公鑰基礎設施（PKI，Public Key Infrastructure），為鐵路信息系統提供統一可信的認證體系，電子認證服務系統、證書注冊與簽發管理系統、證書狀態查詢系統等可為鐵路用戶提供基礎商用密碼服務。同時，還建立了統一身份認證管理系統，為需要訪問資源的用戶提供統一的用戶管理、多類型安全認證、跨域單點登錄、細粒度的訪問授權等服務。但鐵路行業缺少為業務應用系統提供統一、安全、可擴展的密碼服務支撐平臺，商用密碼尚未形成技術體系。

鐵路商用密碼管理體系尚未完全建立，缺少商用密碼的研究、試驗、應用和推廣等一系列的流程規范，需圍繞鐵路密碼管理制度、密碼應用標準、密碼監管機制、專業人才培養、密碼綜合業務管理、應急處理等方面開展相關研究與應用的推進工作。

2 鐵路密碼應用合規應對措施

根據《GM/T 39786—2021 信息系統密碼應用基本要求》[1]，根據通用、密碼應用技術、密碼應用管理等要求，在不同層面采用密碼技術，為信息系統建立全方位的密碼保障體系。

（1）通用要求規定了密碼算法、密碼技術、密碼產品和密碼服務應當滿足我國法律法規及國家密碼管理的相關標準規范或要求，即合規性。

（2）密碼應用技術要求是該標準的核心內容，包括物理和環境安全、網絡和通信安全、設備和計算安全、應用和數據安全4 個方面。隨著信息系統安全等級保護級別的上升，密碼應用要求也越來越嚴格。

（3）密碼應用管理要求從管理制度、人員管理、建設運行和應急處置等方面規定了信息系統安全等級保護不同級別的密碼應用管理要求。

3 鐵路商用密碼管理體系

根據《國鐵集團“十四五”網絡安全和信息化規劃》要求，以覆蓋商用密碼應用和管理為需求，建立鐵路商用密碼安全管理制度、規范和技術措施，加強對密鑰全生命周期的管理[2]，逐步提升鐵路密碼管理水平，支撐密碼體系正常運行。

3.1 密碼應用管理

主要分為管理制度、人員管理、建設運行和應急處置4 個層面。

（1）管理制度。依據《密碼法》《商用密碼管理條例》等國家法律法規，建立適應鐵路信息化發展的密碼安全管理制度和操作規范，覆蓋人員管理、密鑰管理、建設運行、應急處置、密碼軟硬件、介質管理等相關內容[3]，以及管理或操作人員執行的日常管理操作規程；定期論證、審定密碼安全管理制度的合理性和適用性，并對制度進行修訂。

（2）人員管理。根據鐵路各業務信息系統密碼管理工作需要，設立密碼管理及操作的相關崗位，明確各崗位的職責和權限；對相關人員進行法律法規、密碼應用安全管理培訓；對關鍵崗位建立多人共管機制，制定人員考核、人員培訓、人員保密和調離等相關規定，并按照規定進行人員的配備與管理。

（3）建設運行。針對鐵路信息系統的規劃、建設和運行開展密碼應用工作，重點做好密碼應用方案設計、密鑰安全管理策略、實施方案，開展鐵路商用密碼應用安全性評估[4]及攻防對抗演習等。

（4）應急處置。做好事前、事中、事后的應急管理工作，應制定密碼應用應急處置方案，做好應急資源準備，當密碼應用安全事件發生時，應立即啟動應急處置措施，事件發生及處置完成后，及時向信息系統業務主管部門及歸屬的密碼管理部門報告。

3.2 密碼監管機制

建立密碼監管機制，推動鐵路行業內產品標準化應用，促進產品全面、健康、有序、協調發展。規范密碼產品應用對于鐵路密碼標準制定、驗證、應用、實施具有指導意義，以助推密碼應用合規、有效、標準。

（1）鐵路行業參與設計生產、應用的密碼產品應監督檢測，確保符合應用標準（接口規范、部署要求、策略配置要求等）。

（2）鐵路行業參與設計生產、應用的密碼產品要進行安全及風險評估。

（3）對鐵路企業生產的產品應進行標準化檢驗、驗證、監督，同時抽查檢驗和委托檢測。

（4）鐵路行業標準、企業標準的制定、修訂要進行驗證。

（5）對鐵路行業承擔同類產品應用標準化監督的機構進行技術指導，開展溝通交流，統一標準監督的檢測方法。

3.3 密碼應用標準

建立健全鐵路商用密碼應用技術標準和檢測標準，促進國產商用密碼算法在鐵路行業的推廣與應用，全面支持國產算法。對已有的安全技術與檢測規范進行有機整合，結合鐵路應用環境，形成適應鐵路行業的系列標準，指導行業內密碼產品的研制、生產和檢測。

標準規范建議覆蓋商用密碼技術、產品、服務、應用、檢測和管理等方面的相關規范，包括但不限于：

（1）鐵路密碼基礎類、密碼檢測類、密碼管理類和密碼應用類標準。

（2）鐵路密碼產品應用管理規范。

（3）鐵路密碼檢測認證管理標準。

（4）鐵路密鑰管理安全技術規范。

（5）鐵路統一密鑰管理系統功能與接口及安全策略規范。

（6）鐵路密碼設備應用接口規范。

（7）鐵路安全通信密碼安全技術規范。

3.4 密碼業務綜合管理

密碼業務綜合管理指實現對各類使用密碼服務組件的鐵路信息系統及其密碼服務使用情況進行統一管理。

（1）統一密碼設備監控。對鐵路計算機網絡內的各類密碼機的CPU、內存使用率等參數進行監控，對密碼應用業務監控，開展應急報警閾值設置。

（2）全局數據統計分析。以業務功能為單位，統計分析各鐵路業務信息系統對密碼資源的使用狀況，通過圖形、表格、圖片等可視化的方式顯示數據相關內容，對統計分析結果進行報表輸出。

（3）集中服務運行監控。可對鐵路密碼基礎設施中的密碼設備、系統負荷和安全服務等狀態進行實時監控，當發生系統故障或資源負荷超出閾值時進行自動告警。

4 鐵路商用密碼技術體系

密碼技術是實現內生安全的核心和基礎，密碼技術體系需要滿足各個層次的密碼安全要求。

鐵路信息系統與網絡復雜多樣，要根據鐵路信息系統實際使用場景、網絡結構、應用模式等要求制定鐵路商用密碼技術體系，明確不同業務場景與環境下的密碼技術要求，提升密碼技術在鐵路行業的適用性。鐵路商用密碼技術體系，如圖1 所示，涵蓋密碼資源層、平臺服務層、密碼應用層、監控展示層[5]。

圖1 鐵路商用密碼技術體系

鐵路商用密碼技術體系在業務應用系統中的作用主要包括：

（1）正確鑒別用戶身份及權限。對用戶進行身份標識和身份鑒別，實現身份信息的防截獲、防假冒和防重用，保證用戶身份的真實性。

（2）保證關鍵數據的真實性和完整性。防止非法用戶對關鍵數據進行篡改或刪除，防止數據傳輸過程中可能出現的數據破壞或丟失。

（3）保證關鍵數據的機密性。通過對敏感數據加密傳輸、加密存儲來保護交易數據、用戶敏感信息等關鍵數據的機密性。

（4）保證關鍵操作的不可否認性。對于網上交易、賬務查詢等重要操作，采用密碼技術提供數據原發證據和數據接收證據，實現數據原發行為和數據接收行為的不可否認性。

5 鐵路商用密碼安全體系

（1）需要建立一種可靠的信任關系，將行為主體的活動相連接，保證主體在信息交流過程中的身份是經過認證的，權限是合理的，溝通是保密的，交流過程是可追責的。

（2）建立商用密碼基礎設施，保證鐵路行業關鍵信息基礎設施及重要信息系統中的關鍵及重要數據在全生命周期的安全。

（3）在價值保護方面，利用基于密碼技術的訪問控制、數據加密和數據脫敏等，實現不同粒度的數據安全控制。

（4）在信任構建方面，利用基于密碼技術的數據標識、數字簽名和內容保護等，實現主體行為的不可抵賴，解決網絡間及業務系統間數據交換的信任問題，實現數據資源安全交互。

5.1 鐵路數字證書認證系統

鐵路數字證書認證系統是基于PKI 密碼學理論和X.509 標準的身份認證框架，為業務系統提供了統一可信的安全認證體系。PKI 在一個環境內建立了信任級別，其中，具體協議和算法都沒有明確規定，因而PKI 是一種框架而不是特定的技術。鐵路數字證書認證系統提供身份認證、機密性、不可否認性，以及消息交換的完整性。其在統一的安全認證標準和規范基礎上，具備用戶身份標識、創建和分發證書、維護和取消證書、分發和維護加密密鑰等功能，為鐵路用戶提供密碼服務和認證服務。鐵路數字證書認證系統確定了鐵路網絡納入PKI 體系的各種行為主體身份的唯一性、真實性和合法性[6]，保護行為主體的安全。

5.2 身份識別與訪問管理系統

身份識別與訪問管理系統依托鐵路統一身份認證平臺，以資源管理為核心，涵蓋了用戶和系統之間、系統和其他系統之間的關系，它對用戶和業務系統進行授權管理，建立用戶身份和系統授權的映射，提供授權和訪問控制機制。具有單點登錄、認證管理、基于策略的集中式授權、動態授權和審計等功能。身份識別與訪問管理系統與鐵路數字證書認證系統相比，主要區別在于：后者說明用戶是誰；前者給出這個用戶的權限和能力策略，即在對用戶進行身份認證后，與目錄服務集成，對合法用戶訪問業務系統資源進行權限管理。

5.3 密鑰管理系統

密鑰管理系統用于實現對應用系統類、密碼設備類、用戶類密鑰的管理，實現密鑰在生成、存儲和備份、分發和加載、使用、更新、歸檔和銷毀等全生命周期的集中管理、應用接入管理和身份認證，保證密碼應用的合規性、正確性和有效性，滿足網絡、業務系統、移動應用等密碼管理需求[7]。主要功能應涵蓋密鑰管理、密碼算法管理、密碼設備管理、注冊接入管理和日志審計等功能。

密鑰管理系統可采用分級部署方式，系統結構如圖2 所示。

圖2 密鑰管理系統結構

（1）一級密鑰管理系統以管理功能為主，實現二級密鑰管理系統的注冊及接入管理、實現不同安全域間二級密鑰管理系統中的密鑰安全交互。

（2）二級密鑰管理系統主要提供密鑰生產及托管的功能，實現本安全域內對稱密鑰與非對稱密鑰的全生命周期管理，實現應用系統類、密碼設備類密鑰的集中管理功能，確保核心密鑰數據安全可控。

5.4 密碼服務系統

密碼服務系統通過對硬件密碼資源的集中管理與統一調度，為鐵路業務系統提供密碼基礎信任和密碼基礎運算服務，保證業務數據的機密性、完整性、不可否認性和真實性。密碼服務系統屏蔽后臺密碼設備的多樣性、指令的復雜性，簡化應用系統對密碼設備調度的復雜性[8]。采用標準和定制化接口，面向業務系統提供加密解密、簽名驗簽、摘要、數字信封等密碼服務。

結合密碼應用需求，密碼服務系統分為3 層，系統架構如圖3 所示。

圖3 密碼服務系統架構

（1）密碼資源服務。以密碼基礎設施、密碼設備集群等密碼資源為基礎，提供基本的密碼服務，包括密碼算法模塊服務、數字證書管理服務、密鑰管理服務和隨機數服務等，通過調用模塊實現對硬件密碼模塊的彈性部署、按需提供服務。

（2）通用密碼服務。基于云密碼資源服務或密碼基礎設施，將面向應用場景的密碼功能集合在一起，打包成易部署、易使用的虛擬機實例、微服務實例、軟件中間件等，對外提供服務。

（3）典型密碼服務。將密碼技術與特定應用業務融合，組合成用戶能夠訪問和使用的操作流程。典型密碼服務可基于云密碼資源服務提供的密碼設施服務和接口，向用戶提供安全的業務服務。

6 結束語

密碼是保障網絡安全最有效、可靠、經濟的重要手段和關鍵技術。本文通過對鐵路商用密碼應用現狀進行研究，從通用要求、密碼應用技術要求、密碼應用管理要求等不同層面對鐵路行業商用密碼合規性進行研究分析，提出了鐵路商用密碼管理體系、技術體系和安全體系，可為引導鐵路行業合規、正確、有效地使用密碼，規范重要業務信息系統密碼應用工作，加快推進鐵路行業商用密碼建設工作提供參考。