基于國密算法的密碼服務平臺建設研究

摘要：對于信息系統密碼服務平臺來說，結合運用國密算法可以有效發揮出密碼服務各項優勢，保障系統中各業務的穩定、安全運行。因此，本文通過分析國密算法的優勢及國產密碼的運用場景，進一步分析了結合國密算法的密碼服務平臺建設路徑。

關鍵詞：國產密碼；平臺建設；算法

目前，國內正大力推進國密算法的普及性應用，來擺脫以往對國外密碼技術的依賴性，同時也能使信息系統的安全更為可靠，避免對應企業發展中出現機密泄露風險。

一、國密算法的定義與優勢

國密算法就是指由國家密碼管理局所認定的國產密碼相關算法，其也由國家機構所發布，密碼應用的安全水平直接由算法決定，因而國密算法也是國產密碼的核心要素。目前的商用相關國密算法主要包括 SM1、SM 2、SM 3以及SM4等，相關密鑰的長度當前為128位。其中SM1算法為對稱加密形式，其加密強度較高，與國外的AES（分組密碼算法）較為接近。這種算法不公開，若要使用該算法，則是需要借助加密芯片接口來接入系統；SM 2算法為非對稱加密形式，其是以ECC為基礎，為已公開狀態，由于其是以ECC為基礎研發出的算法，因而在密鑰產生和簽名方面都具有較快速度，已經超過RSA（公鑰密碼算法）；SM 3算法也叫做消息摘要算法，對其理解需要與MD5算法進行比對分析，算法為已公開狀態，實際校驗結果為256位；SM4算法是無線局域網標準的一種分組數據算法，其也為對稱加密形式，分組長度為128位[1]。在國密算法推廣應用之前，我國信息領域多是運用國外的密碼算法，如AES、RSA、SHA-256、密碼雜湊算法等。然而國密算法研發出現后，通過對比分析可以發現國密算法具有許多性能優勢。

例如，國密SM 2算法與國外RSA算法比較來看，其性能會更加安全，這是由于該算法下的密碼復雜度更高，處理時速度頗快，使其解密和生成密鑰效率更高，在機器性能消耗方面也會比較?。粐躍M 3與國外SHA-256算法比較來看，兩者性能十分接近，但SM 3算法對密碼設計更為復雜，因而也會較為安全；國密SM4算法與國外AES算法比較來看，加密強度都比較高，但SM4算法的效率更高、安全性更佳，同時在硬件實現方面也比較容易。

二、當前云環境下國產密碼的運用場景

伴隨著大數據、人工智能及云計算技術的快速發展，當前許多核心信息系統都采用云上部署形式，因此，云環境的安全也越來越受到關注。在這種云環境當中，用戶會在具有虛擬性質的云資源池中部署相應信息系統，這樣也能促進不同系統中的資源共享、合作共用。同時會運用虛擬化隔離技術劃分資源池中的系統部署，或是基于VLAN網絡采用安全組隔離方式實施隔離，有效保證各個系統的安全。由于科技進步較快，云環境中的信息系統也趨向于更復雜、更多元的方向發展，單純依靠安全隔離控制手段并不能完全保證系統安全，因此，在采用傳統網絡安全防護技術的基礎上，也可進一步運用國產密碼技術，通過設置密鑰來提高信息系統及云環境平臺的安全水平?；趯嶋H情況需求，目前的國產密碼運用場景包括以下幾點。

（一）在物理與環境安全方面的運用

對于數據中心機房這類設施而言，其物理與環境安全極為重要，安全水平直接影響到機房軟硬件的綜合運行。而國產密碼則一般是運用在其對應的電子門禁系統中，來到機房進行訪問的人員會通過門禁系統的身份鑒別，具體流程是：為允許訪問的人員配發結合國密SM4算法的門禁卡，若其有訪問需求，則可直接刷用門禁卡，內部SM4算法就能通過密鑰認證人員身份。另外，電子門禁系統中還會對所有進出訪問情況信息加以記錄，可以是數據記錄或視頻記錄形式，這一過程中還會結合HMAC-SM 3技術（SM 3算法）對記錄的信息加以保護，防止出現泄露情況[2]。

（二）在設備與計算安全方面的運用

信息系統以及云平臺的相關設備在進行遠程管理過程中，都需保證管理人員的身份可靠，因而會接入統一的身份認證系統，確保訪問管理人員獲得授權，而一些不具有授權或身份鑒別有異常的人員也無法從中盜取系統信息。相關設備和計算的安全實現也多會運用到國產密碼。例如，當云上系統生成了重要文件或是關鍵程序之后，會對其采用SM 2算法的數字簽名加密技術，有效保護其完整性，對于文件的查閱和程序的讀取，也會通過驗簽確定是否具有權限。另外，在設備的日志信息保護以及資源訪問安全控制的過程中，也會運用到國密HMAC-SM 3算法。

（三）在網絡與通信安全方面的運用

信息系統終端部分要實現和云計算環境的有效銜接，還需運用SSL VPN網關，當前的SSL VPN網關也支持應用國產密碼，有效保證系統網絡及通信的安全。在登錄VPN網關時，可以運用基于國密算法的數字證書（USBKRY），進一步認證訪問系統的主體安全，同時還會搭配使用商密安全瀏覽器所構建的虛擬訪問專用通道，確保整個通信過程的安全性較強。

（四）在應用與數據安全方面的運用

信息系統中的數據與核心應用模塊都要保證安全性和有效性，因此也會運用到國產密碼。其會對密碼服務平臺的簽名驗簽能力加以調用，同時結合運用了國密SM 2算法的數字簽名技術，實現對用戶訪問的有效控制。也能完整保留控制的列表，用戶每次進行登錄時都會重新進行安全驗證，在改變權限時也要驗證其簽名。而信息系統以及云平臺環境中都會存在一些敏感、重要的數據信息，像是用戶私人信息、鑒別信息等。其可以路由SM4算法或是HWAC-SM 3算法開展密碼保護，確保關鍵數據不會丟失[3]。

（五）在管理與運行安全方面的運用

針對系統運行情況和云平臺特點，需建立起安全管理機制，而國產密碼的有效運用主要體現在密鑰管理、密碼人員管理、建設運行管理、應急處置等方面。為了使整體系統的管理與運行更加穩定，還需對標準化國密算法操作規程進一步明確，所有操作中產生的信息會被完整記錄并保存。設置支持安全工作的對應崗位，如密碼安全審計、密鑰管理及操作員崗位，并對各崗位人員定期實施考核，確保其崗位職責履行到位。進一步強化密碼產生環節、配發環節、使用環節以及存儲環節的管理。此外，為了保證國產密碼的運用安全性達到要求，也需定期對其進行安全評估工作，開展安全風險的應急演練，確保整個系統運行和管理的密碼安全。

三、結合國密算法的密碼服務平臺建設路徑

（一）開展平臺的總體架構設計

在當前的云環境背景下，密碼服務平臺也為適應云環境而構建架構，同時在架構設計中也充分結合國密算法，因而組成包括兩個部分，一是云環境密碼服務平臺，二是國產密碼應用部分，該平臺能夠提供可靠的國產密碼相關服務。云環境密碼服務平臺的最底層結構為密碼支撐模塊，其中還包括基礎密碼支撐與密碼資源池兩部分，基礎密碼支撐中分布了各種功能的軟硬件，可以提供數據存儲與保護功能、統一身份認證功能、密鑰的管理功能等。密碼資源池則是包括許多云服務器密碼機，在密碼支撐模塊上層次結構為密碼服務模塊，其可以有效封裝基礎密碼服務中間件，將平臺系統功能轉換為統一可提供的服務形式，如密鑰管理服務、密碼計算服務、數據加密服務、身份認證服務等。對于國產密碼應用的部分則主要包括了網絡接入模塊、終端模塊、云管理模塊以及云平臺與云上信息系統模塊等，其分別進行國產安全密碼的不同形式應用[4]。

（二）制定密碼服務與管理的建設方案

1.對密碼支撐系統進行建設

對于密碼服務平臺來說，密碼支持則是為平臺運行提供了軟硬件基礎。例如，其中包含了云服務器密碼機硬件，該裝置主要是結合了先進的虛擬化技術，每一臺裝置都能針對不同業務生產多個虛擬密碼機。這種虛構的密碼機集合為一個群體，且每臺裝置都具備了計算密碼的功能，這也就形成了云密碼計算的一種資源地。不同虛擬密碼機之間要注意做好隔離，避免產生不安全因素，最大程度上充分利用密碼的硬件條件，促使其發揮出最大化效應。再比如，密碼支持當中應包含了統一身份認證的系統模塊，該系統需基于相關電子認證設施，軟件服務方面應當充分提供身份認證、身份管理、行為審計、單點登錄功能等，確保平臺系統中的用戶身份具有真實性。這種電子認證的設施也是結合應用了國產密碼，充分保護身份隱私信息，同時也可為用戶的身份簽發相關標識性數字證書，用于鑒別身份的真偽情況。只有身份鑒別通過以后用戶才能接入到平臺中進行訪問，進一步推進各項業務。還有數據存儲與保護的系統模塊，該系統建設時重點構建加密數據庫，針對文件也應實現加密保護，確保其安全。其中數據庫中會對一些敏感數據做加密處理后再保存，同時也要保證應用時的安全訪問，做好審計，避免數據信息在存儲過程中出現泄露情況，防止直接對數據庫信息進行訪問而造成安全隱患，。為了兼顧考慮數據庫的高效運行需求，可只針對敏感數據實施加密，這樣也能使系統訪問速度較快，而對于文件的加密保護則是借助密碼服務平臺本身的優勢能力，實現針對不同類型的重要文件，賦予不同用戶差異化權限。當用戶想要對加密文件進行訪問時，需要輸入密碼來認證權限，隨后才能夠在平臺中查閱文件。密碼支持中的密鑰管理系統模塊也是極為重要，該系統的作用就是有效管理密碼服務平臺和信息系統的各項密鑰，避免其丟失密碼而造成保護失效。密鑰管理還會針對密鑰類型來實施全生命周期內的妥善管理，比如對稱密鑰和非對稱密鑰的管理，密鑰管理還包括密鑰的產生、更新、分發、撤銷、恢復及歸檔等管理功能。為了保證管理中的密鑰安全性，還需在密鑰產生之后結合運用完整性數據保護技術及身份鑒別技術，促進密鑰管理效果的提升。此外，密碼支持系統也需重視其他軟硬件的建設，像是時間戳服務器、簽名和驗簽服務器以及電子簽章設施等，都能夠提供對應服務，有必要加以完善。

2.對密碼服務系統進行建設

密碼服務平臺的密碼服務系統為核心系統，其是在密碼支撐模塊作用發揮的基礎上，進一步針對密碼能力實施封裝，同時向信息系統與對應平臺提供各類服務，比如說身份認證服務、簽名驗簽服務、密鑰管理服務、密碼計算服務、時間戳服務以及證書管理服務等。要完善各種密碼服務的相關中間件，同時，以支持多種語言和多平臺為目標，對API接口進行封裝處理，使其成為對應功能的SDK套件。在密碼服務調用方面，也建成了具有統一化特征的接口，使得密碼服務的相關業務更好地對接[5]。

3.完善密碼服務的平臺管理

對密碼服務的平臺管理進一步完善，主要針對密碼服務和密碼設備做好管理工作。例如，對于云服務器的密碼機在使用并接入的過程中加強管控，對密碼算法的規范性與合理性強化檢測，設備運行提供服務時也要監控其狀態，針對密碼服務的申請、調配、使用以及回收等都要進行管理。為了使管理效果更佳，要對各項業務執行的信息、平臺性能、服務日志及資源使用信息等進行收集，可通過Syslog或Restful API方式進行，在收集完信息數據之后，還要進行清洗、篩選、轉換以及歸并處理，借助于數據關聯分析的技術，使格式化數據轉換為相應規則之下的告警數據。最后，平臺管理需要實現整體運行狀況的可視化展示，從而進一步把控服務，控制資產分配并預防運行風險，平臺管理的信息也能為相關決策提供可靠依據。

（三）明確密碼服務的能力調用及應用場景

密碼服務平臺運行時已經具備了統一化接口，而平臺在有效接入各項業務并實現能力調用時，都會采用兩種形式。其一是密碼服務平臺中的Restful API接口直接被接入信息系統中，調用相關功能；其二是信息系統將密碼服務集成接入形成SDK，能夠利用云密碼服務的中間件標準接口進一步調用相關服務功能。對兩種形式的比對分析發現，第二種形式的簡便性更強。當前密碼服務的常見應用場景主要為以下幾種。一是對用戶身份認證的場景。在用戶的身份認證環節中，會應用到密碼服務平臺能力。用戶先是在相關信息系統發送登錄賬號的請求，系統會將該請求信息發送給密碼服務的平臺。密碼服務平臺為了保證用戶登錄安全，會提出進行身份認證的請求，用戶在跟隨指引通過認證后即可確定其身份的合法性，隨后就能對平臺中各項業務實施訪問。二是對數據實施保護性傳輸的場景。在密碼服務平臺中，數據的傳輸也要確保安全性、保密性、不可否認性及完整性，因此，會調用一定能力實現數據保護性傳輸。主要是利用密碼服務平臺的簽名驗簽能力以及數據加密和解密能力，這樣就能夠保證不同用戶進行信息發送時的安全，一般是在信息發送端設置一定密鑰做加密處理，隨后再將其傳送到信息接收端，接收端用戶需要輸入解密的密碼才能獲取信息。三是對數據存儲進行加密的場景，平臺中的敏感數據存儲需要進行加密處理。這是為了確保數據存儲的安全性更強，而在進行文件加密時，就需調用加密與解密的相關服務功能。例如，基于國民算法的應用，可以針對重要文件采用SM4算法進行對稱加密處理，隨后再開展存儲工作。

四、結束語

綜上所述，密碼服務平臺的建設會影響到信息系統運行時的安全。因此，在云環境的信息領域背景下，密碼服務平臺開始運用國密算法，有效提高密碼的安全水平。由本文分析可知，結合國密算法的密碼服務平臺建設路徑包括：開展平臺的總體架構設計、制定密碼服務與管理的建設方案、明確密碼服務的能力調用及應用場景。

作者單位：張進 郭之超 汪改革 董瑋 中國電信股份有限公司安徽分公司

參" 考" 文" 獻

[1]鄧清唐，蔡田田，陳波，等.基于國密算法的智能電能表安全芯片及其應用[J].電子產品可靠性與環境試驗，2022，40（04）： 85-88.

[2]張慧.基于統一密碼服務支撐平臺的密碼應用建設[J].現代傳輸，2022（01）：44-46.

[3]賈軼，包俊嶺，呂永剛，等.可信身份認證和標識密碼技術的跨網域建設與應用[J].電子技術與軟件工程，2021（21）：239-242.

[4]王超.密碼護航新基建 服務構筑新防線——訪衛士通信息產業股份有限公司總工程師董貴山[J].信息安全與通信保密， 2020（10）：38-43.

[5]王棟，李國春，俞學豪，等.基于量子保密通信的國產密碼服務云平臺建設思路[J].電信科學，2020，34（07）：171-178.

張進（1991-），男，漢族，安徽合肥，碩士，中級工程師，研究方向：網絡安全、密碼安全。