摘要：對于信息系統(tǒng)密碼服務(wù)平臺來說，結(jié)合運(yùn)用國密算法可以有效發(fā)揮出密碼服務(wù)各項(xiàng)優(yōu)勢，保障系統(tǒng)中各業(yè)務(wù)的穩(wěn)定、安全運(yùn)行。因此，本文通過分析國密算法的優(yōu)勢及國產(chǎn)密碼的運(yùn)用場景，進(jìn)一步分析了結(jié)合國密算法的密碼服務(wù)平臺建設(shè)路徑。

關(guān)鍵詞：國產(chǎn)密碼；平臺建設(shè)；算法

目前，國內(nèi)正大力推進(jìn)國密算法的普及性應(yīng)用，來擺脫以往對國外密碼技術(shù)的依賴性，同時(shí)也能使信息系統(tǒng)的安全更為可靠，避免對應(yīng)企業(yè)發(fā)展中出現(xiàn)機(jī)密泄露風(fēng)險(xiǎn)。

一、國密算法的定義與優(yōu)勢

國密算法就是指由國家密碼管理局所認(rèn)定的國產(chǎn)密碼相關(guān)算法，其也由國家機(jī)構(gòu)所發(fā)布，密碼應(yīng)用的安全水平直接由算法決定，因而國密算法也是國產(chǎn)密碼的核心要素。目前的商用相關(guān)國密算法主要包括 SM1、SM 2、SM 3以及SM4等，相關(guān)密鑰的長度當(dāng)前為128位。其中SM1算法為對稱加密形式，其加密強(qiáng)度較高，與國外的AES（分組密碼算法）較為接近。這種算法不公開，若要使用該算法，則是需要借助加密芯片接口來接入系統(tǒng)；SM 2算法為非對稱加密形式，其是以ECC為基礎(chǔ)，為已公開狀態(tài)，由于其是以ECC為基礎(chǔ)研發(fā)出的算法，因而在密鑰產(chǎn)生和簽名方面都具有較快速度，已經(jīng)超過RSA（公鑰密碼算法）；SM 3算法也叫做消息摘要算法，對其理解需要與MD5算法進(jìn)行比對分析，算法為已公開狀態(tài)，實(shí)際校驗(yàn)結(jié)果為256位；SM4算法是無線局域網(wǎng)標(biāo)準(zhǔn)的一種分組數(shù)據(jù)算法，其也為對稱加密形式，分組長度為128位[1]。在國密算法推廣應(yīng)用之前，我國信息領(lǐng)域多是運(yùn)用國外的密碼算法，如AES、RSA、SHA-256、密碼雜湊算法等。然而國密算法研發(fā)出現(xiàn)后，通過對比分析可以發(fā)現(xiàn)國密算法具有許多性能優(yōu)勢。

例如，國密SM 2算法與國外RSA算法比較來看，其性能會更加安全，這是由于該算法下的密碼復(fù)雜度更高，處理時(shí)速度頗快，使其解密和生成密鑰效率更高，在機(jī)器性能消耗方面也會比較?。粐躍M 3與國外SHA-256算法比較來看，兩者性能十分接近，但SM 3算法對密碼設(shè)計(jì)更為復(fù)雜，因而也會較為安全；國密SM4算法與國外AES算法比較來看，加密強(qiáng)度都比較高，但SM4算法的效率更高、安全性更佳，同時(shí)在硬件實(shí)現(xiàn)方面也比較容易。

二、當(dāng)前云環(huán)境下國產(chǎn)密碼的運(yùn)用場景

伴隨著大數(shù)據(jù)、人工智能及云計(jì)算技術(shù)的快速發(fā)展，當(dāng)前許多核心信息系統(tǒng)都采用云上部署形式，因此，云環(huán)境的安全也越來越受到關(guān)注。在這種云環(huán)境當(dāng)中，用戶會在具有虛擬性質(zhì)的云資源池中部署相應(yīng)信息系統(tǒng)，這樣也能促進(jìn)不同系統(tǒng)中的資源共享、合作共用。同時(shí)會運(yùn)用虛擬化隔離技術(shù)劃分資源池中的系統(tǒng)部署，或是基于VLAN網(wǎng)絡(luò)采用安全組隔離方式實(shí)施隔離，有效保證各個(gè)系統(tǒng)的安全。由于科技進(jìn)步較快，云環(huán)境中的信息系統(tǒng)也趨向于更復(fù)雜、更多元的方向發(fā)展，單純依靠安全隔離控制手段并不能完全保證系統(tǒng)安全，因此，在采用傳統(tǒng)網(wǎng)絡(luò)安全防護(hù)技術(shù)的基礎(chǔ)上，也可進(jìn)一步運(yùn)用國產(chǎn)密碼技術(shù)，通過設(shè)置密鑰來提高信息系統(tǒng)及云環(huán)境平臺的安全水平?；趯?shí)際情況需求，目前的國產(chǎn)密碼運(yùn)用場景包括以下幾點(diǎn)。

（一）在物理與環(huán)境安全方面的運(yùn)用

對于數(shù)據(jù)中心機(jī)房這類設(shè)施而言，其物理與環(huán)境安全極為重要，安全水平直接影響到機(jī)房軟硬件的綜合運(yùn)行。而國產(chǎn)密碼則一般是運(yùn)用在其對應(yīng)的電子門禁系統(tǒng)中，來到機(jī)房進(jìn)行訪問的人員會通過門禁系統(tǒng)的身份鑒別，具體流程是：為允許訪問的人員配發(fā)結(jié)合國密SM4算法的門禁卡，若其有訪問需求，則可直接刷用門禁卡，內(nèi)部SM4算法就能通過密鑰認(rèn)證人員身份。另外，電子門禁系統(tǒng)中還會對所有進(jìn)出訪問情況信息加以記錄，可以是數(shù)據(jù)記錄或視頻記錄形式，這一過程中還會結(jié)合HMAC-SM 3技術(shù)（SM 3算法）對記錄的信息加以保護(hù)，防止出現(xiàn)泄露情況[2]。

（二）在設(shè)備與計(jì)算安全方面的運(yùn)用

信息系統(tǒng)以及云平臺的相關(guān)設(shè)備在進(jìn)行遠(yuǎn)程管理過程中，都需保證管理人員的身份可靠，因而會接入統(tǒng)一的身份認(rèn)證系統(tǒng)，確保訪問管理人員獲得授權(quán)，而一些不具有授權(quán)或身份鑒別有異常的人員也無法從中盜取系統(tǒng)信息。相關(guān)設(shè)備和計(jì)算的安全實(shí)現(xiàn)也多會運(yùn)用到國產(chǎn)密碼。例如，當(dāng)云上系統(tǒng)生成了重要文件或是關(guān)鍵程序之后，會對其采用SM 2算法的數(shù)字簽名加密技術(shù)，有效保護(hù)其完整性，對于文件的查閱和程序的讀取，也會通過驗(yàn)簽確定是否具有權(quán)限。另外，在設(shè)備的日志信息保護(hù)以及資源訪問安全控制的過程中，也會運(yùn)用到國密HMAC-SM 3算法。

（三）在網(wǎng)絡(luò)與通信安全方面的運(yùn)用

信息系統(tǒng)終端部分要實(shí)現(xiàn)和云計(jì)算環(huán)境的有效銜接，還需運(yùn)用SSL VPN網(wǎng)關(guān)，當(dāng)前的SSL VPN網(wǎng)關(guān)也支持應(yīng)用國產(chǎn)密碼，有效保證系統(tǒng)網(wǎng)絡(luò)及通信的安全。在登錄VPN網(wǎng)關(guān)時(shí)，可以運(yùn)用基于國密算法的數(shù)字證書（USBKRY），進(jìn)一步認(rèn)證訪問系統(tǒng)的主體安全，同時(shí)還會搭配使用商密安全瀏覽器所構(gòu)建的虛擬訪問專用通道，確保整個(gè)通信過程的安全性較強(qiáng)。

（四）在應(yīng)用與數(shù)據(jù)安全方面的運(yùn)用

信息系統(tǒng)中的數(shù)據(jù)與核心應(yīng)用模塊都要保證安全性和有效性，因此也會運(yùn)用到國產(chǎn)密碼。其會對密碼服務(wù)平臺的簽名驗(yàn)簽?zāi)芰右哉{(diào)用，同時(shí)結(jié)合運(yùn)用了國密SM 2算法的數(shù)字簽名技術(shù)，實(shí)現(xiàn)對用戶訪問的有效控制。也能完整保留控制的列表，用戶每次進(jìn)行登錄時(shí)都會重新進(jìn)行安全驗(yàn)證，在改變權(quán)限時(shí)也要驗(yàn)證其簽名。而信息系統(tǒng)以及云平臺環(huán)境中都會存在一些敏感、重要的數(shù)據(jù)信息，像是用戶私人信息、鑒別信息等。其可以路由SM4算法或是HWAC-SM 3算法開展密碼保護(hù)，確保關(guān)鍵數(shù)據(jù)不會丟失[3]。

（五）在管理與運(yùn)行安全方面的運(yùn)用

針對系統(tǒng)運(yùn)行情況和云平臺特點(diǎn)，需建立起安全管理機(jī)制，而國產(chǎn)密碼的有效運(yùn)用主要體現(xiàn)在密鑰管理、密碼人員管理、建設(shè)運(yùn)行管理、應(yīng)急處置等方面。為了使整體系統(tǒng)的管理與運(yùn)行更加穩(wěn)定，還需對標(biāo)準(zhǔn)化國密算法操作規(guī)程進(jìn)一步明確，所有操作中產(chǎn)生的信息會被完整記錄并保存。設(shè)置支持安全工作的對應(yīng)崗位，如密碼安全審計(jì)、密鑰管理及操作員崗位，并對各崗位人員定期實(shí)施考核，確保其崗位職責(zé)履行到位。進(jìn)一步強(qiáng)化密碼產(chǎn)生環(huán)節(jié)、配發(fā)環(huán)節(jié)、使用環(huán)節(jié)以及存儲環(huán)節(jié)的管理。此外，為了保證國產(chǎn)密碼的運(yùn)用安全性達(dá)到要求，也需定期對其進(jìn)行安全評估工作，開展安全風(fēng)險(xiǎn)的應(yīng)急演練，確保整個(gè)系統(tǒng)運(yùn)行和管理的密碼安全。

三、結(jié)合國密算法的密碼服務(wù)平臺建設(shè)路徑

（一）開展平臺的總體架構(gòu)設(shè)計(jì)

在當(dāng)前的云環(huán)境背景下，密碼服務(wù)平臺也為適應(yīng)云環(huán)境而構(gòu)建架構(gòu)，同時(shí)在架構(gòu)設(shè)計(jì)中也充分結(jié)合國密算法，因而組成包括兩個(gè)部分，一是云環(huán)境密碼服務(wù)平臺，二是國產(chǎn)密碼應(yīng)用部分，該平臺能夠提供可靠的國產(chǎn)密碼相關(guān)服務(wù)。云環(huán)境密碼服務(wù)平臺的最底層結(jié)構(gòu)為密碼支撐模塊，其中還包括基礎(chǔ)密碼支撐與密碼資源池兩部分，基礎(chǔ)密碼支撐中分布了各種功能的軟硬件，可以提供數(shù)據(jù)存儲與保護(hù)功能、統(tǒng)一身份認(rèn)證功能、密鑰的管理功能等。密碼資源池則是包括許多云服務(wù)器密碼機(jī)，在密碼支撐模塊上層次結(jié)構(gòu)為密碼服務(wù)模塊，其可以有效封裝基礎(chǔ)密碼服務(wù)中間件，將平臺系統(tǒng)功能轉(zhuǎn)換為統(tǒng)一可提供的服務(wù)形式，如密鑰管理服務(wù)、密碼計(jì)算服務(wù)、數(shù)據(jù)加密服務(wù)、身份認(rèn)證服務(wù)等。對于國產(chǎn)密碼應(yīng)用的部分則主要包括了網(wǎng)絡(luò)接入模塊、終端模塊、云管理模塊以及云平臺與云上信息系統(tǒng)模塊等，其分別進(jìn)行國產(chǎn)安全密碼的不同形式應(yīng)用[4]。

（二）制定密碼服務(wù)與管理的建設(shè)方案

1.對密碼支撐系統(tǒng)進(jìn)行建設(shè)

對于密碼服務(wù)平臺來說，密碼支持則是為平臺運(yùn)行提供了軟硬件基礎(chǔ)。例如，其中包含了云服務(wù)器密碼機(jī)硬件，該裝置主要是結(jié)合了先進(jìn)的虛擬化技術(shù)，每一臺裝置都能針對不同業(yè)務(wù)生產(chǎn)多個(gè)虛擬密碼機(jī)。這種虛構(gòu)的密碼機(jī)集合為一個(gè)群體，且每臺裝置都具備了計(jì)算密碼的功能，這也就形成了云密碼計(jì)算的一種資源地。不同虛擬密碼機(jī)之間要注意做好隔離，避免產(chǎn)生不安全因素，最大程度上充分利用密碼的硬件條件，促使其發(fā)揮出最大化效應(yīng)。再比如，密碼支持當(dāng)中應(yīng)包含了統(tǒng)一身份認(rèn)證的系統(tǒng)模塊，該系統(tǒng)需基于相關(guān)電子認(rèn)證設(shè)施，軟件服務(wù)方面應(yīng)當(dāng)充分提供身份認(rèn)證、身份管理、行為審計(jì)、單點(diǎn)登錄功能等，確保平臺系統(tǒng)中的用戶身份具有真實(shí)性。這種電子認(rèn)證的設(shè)施也是結(jié)合應(yīng)用了國產(chǎn)密碼，充分保護(hù)身份隱私信息，同時(shí)也可為用戶的身份簽發(fā)相關(guān)標(biāo)識性數(shù)字證書，用于鑒別身份的真?zhèn)吻闆r。只有身份鑒別通過以后用戶才能接入到平臺中進(jìn)行訪問，進(jìn)一步推進(jìn)各項(xiàng)業(yè)務(wù)。還有數(shù)據(jù)存儲與保護(hù)的系統(tǒng)模塊，該系統(tǒng)建設(shè)時(shí)重點(diǎn)構(gòu)建加密數(shù)據(jù)庫，針對文件也應(yīng)實(shí)現(xiàn)加密保護(hù)，確保其安全。其中數(shù)據(jù)庫中會對一些敏感數(shù)據(jù)做加密處理后再保存，同時(shí)也要保證應(yīng)用時(shí)的安全訪問，做好審計(jì)，避免數(shù)據(jù)信息在存儲過程中出現(xiàn)泄露情況，防止直接對數(shù)據(jù)庫信息進(jìn)行訪問而造成安全隱患，。為了兼顧考慮數(shù)據(jù)庫的高效運(yùn)行需求，可只針對敏感數(shù)據(jù)實(shí)施加密，這樣也能使系統(tǒng)訪問速度較快，而對于文件的加密保護(hù)則是借助密碼服務(wù)平臺本身的優(yōu)勢能力，實(shí)現(xiàn)針對不同類型的重要文件，賦予不同用戶差異化權(quán)限。當(dāng)用戶想要對加密文件進(jìn)行訪問時(shí)，需要輸入密碼來認(rèn)證權(quán)限，隨后才能夠在平臺中查閱文件。密碼支持中的密鑰管理系統(tǒng)模塊也是極為重要，該系統(tǒng)的作用就是有效管理密碼服務(wù)平臺和信息系統(tǒng)的各項(xiàng)密鑰，避免其丟失密碼而造成保護(hù)失效。密鑰管理還會針對密鑰類型來實(shí)施全生命周期內(nèi)的妥善管理，比如對稱密鑰和非對稱密鑰的管理，密鑰管理還包括密鑰的產(chǎn)生、更新、分發(fā)、撤銷、恢復(fù)及歸檔等管理功能。為了保證管理中的密鑰安全性，還需在密鑰產(chǎn)生之后結(jié)合運(yùn)用完整性數(shù)據(jù)保護(hù)技術(shù)及身份鑒別技術(shù)，促進(jìn)密鑰管理效果的提升。此外，密碼支持系統(tǒng)也需重視其他軟硬件的建設(shè)，像是時(shí)間戳服務(wù)器、簽名和驗(yàn)簽服務(wù)器以及電子簽章設(shè)施等，都能夠提供對應(yīng)服務(wù)，有必要加以完善。

2.對密碼服務(wù)系統(tǒng)進(jìn)行建設(shè)

密碼服務(wù)平臺的密碼服務(wù)系統(tǒng)為核心系統(tǒng)，其是在密碼支撐模塊作用發(fā)揮的基礎(chǔ)上，進(jìn)一步針對密碼能力實(shí)施封裝，同時(shí)向信息系統(tǒng)與對應(yīng)平臺提供各類服務(wù)，比如說身份認(rèn)證服務(wù)、簽名驗(yàn)簽服務(wù)、密鑰管理服務(wù)、密碼計(jì)算服務(wù)、時(shí)間戳服務(wù)以及證書管理服務(wù)等。要完善各種密碼服務(wù)的相關(guān)中間件，同時(shí)，以支持多種語言和多平臺為目標(biāo)，對API接口進(jìn)行封裝處理，使其成為對應(yīng)功能的SDK套件。在密碼服務(wù)調(diào)用方面，也建成了具有統(tǒng)一化特征的接口，使得密碼服務(wù)的相關(guān)業(yè)務(wù)更好地對接[5]。

3.完善密碼服務(wù)的平臺管理

對密碼服務(wù)的平臺管理進(jìn)一步完善，主要針對密碼服務(wù)和密碼設(shè)備做好管理工作。例如，對于云服務(wù)器的密碼機(jī)在使用并接入的過程中加強(qiáng)管控，對密碼算法的規(guī)范性與合理性強(qiáng)化檢測，設(shè)備運(yùn)行提供服務(wù)時(shí)也要監(jiān)控其狀態(tài)，針對密碼服務(wù)的申請、調(diào)配、使用以及回收等都要進(jìn)行管理。為了使管理效果更佳，要對各項(xiàng)業(yè)務(wù)執(zhí)行的信息、平臺性能、服務(wù)日志及資源使用信息等進(jìn)行收集，可通過Syslog或Restful API方式進(jìn)行，在收集完信息數(shù)據(jù)之后，還要進(jìn)行清洗、篩選、轉(zhuǎn)換以及歸并處理，借助于數(shù)據(jù)關(guān)聯(lián)分析的技術(shù)，使格式化數(shù)據(jù)轉(zhuǎn)換為相應(yīng)規(guī)則之下的告警數(shù)據(jù)。最后，平臺管理需要實(shí)現(xiàn)整體運(yùn)行狀況的可視化展示，從而進(jìn)一步把控服務(wù)，控制資產(chǎn)分配并預(yù)防運(yùn)行風(fēng)險(xiǎn)，平臺管理的信息也能為相關(guān)決策提供可靠依據(jù)。

（三）明確密碼服務(wù)的能力調(diào)用及應(yīng)用場景

密碼服務(wù)平臺運(yùn)行時(shí)已經(jīng)具備了統(tǒng)一化接口，而平臺在有效接入各項(xiàng)業(yè)務(wù)并實(shí)現(xiàn)能力調(diào)用時(shí)，都會采用兩種形式。其一是密碼服務(wù)平臺中的Restful API接口直接被接入信息系統(tǒng)中，調(diào)用相關(guān)功能；其二是信息系統(tǒng)將密碼服務(wù)集成接入形成SDK，能夠利用云密碼服務(wù)的中間件標(biāo)準(zhǔn)接口進(jìn)一步調(diào)用相關(guān)服務(wù)功能。對兩種形式的比對分析發(fā)現(xiàn)，第二種形式的簡便性更強(qiáng)。當(dāng)前密碼服務(wù)的常見應(yīng)用場景主要為以下幾種。一是對用戶身份認(rèn)證的場景。在用戶的身份認(rèn)證環(huán)節(jié)中，會應(yīng)用到密碼服務(wù)平臺能力。用戶先是在相關(guān)信息系統(tǒng)發(fā)送登錄賬號的請求，系統(tǒng)會將該請求信息發(fā)送給密碼服務(wù)的平臺。密碼服務(wù)平臺為了保證用戶登錄安全，會提出進(jìn)行身份認(rèn)證的請求，用戶在跟隨指引通過認(rèn)證后即可確定其身份的合法性，隨后就能對平臺中各項(xiàng)業(yè)務(wù)實(shí)施訪問。二是對數(shù)據(jù)實(shí)施保護(hù)性傳輸?shù)膱鼍?。在密碼服務(wù)平臺中，數(shù)據(jù)的傳輸也要確保安全性、保密性、不可否認(rèn)性及完整性，因此，會調(diào)用一定能力實(shí)現(xiàn)數(shù)據(jù)保護(hù)性傳輸。主要是利用密碼服務(wù)平臺的簽名驗(yàn)簽?zāi)芰σ约皵?shù)據(jù)加密和解密能力，這樣就能夠保證不同用戶進(jìn)行信息發(fā)送時(shí)的安全，一般是在信息發(fā)送端設(shè)置一定密鑰做加密處理，隨后再將其傳送到信息接收端，接收端用戶需要輸入解密的密碼才能獲取信息。三是對數(shù)據(jù)存儲進(jìn)行加密的場景，平臺中的敏感數(shù)據(jù)存儲需要進(jìn)行加密處理。這是為了確保數(shù)據(jù)存儲的安全性更強(qiáng)，而在進(jìn)行文件加密時(shí)，就需調(diào)用加密與解密的相關(guān)服務(wù)功能。例如，基于國民算法的應(yīng)用，可以針對重要文件采用SM4算法進(jìn)行對稱加密處理，隨后再開展存儲工作。

四、結(jié)束語

綜上所述，密碼服務(wù)平臺的建設(shè)會影響到信息系統(tǒng)運(yùn)行時(shí)的安全。因此，在云環(huán)境的信息領(lǐng)域背景下，密碼服務(wù)平臺開始運(yùn)用國密算法，有效提高密碼的安全水平。由本文分析可知，結(jié)合國密算法的密碼服務(wù)平臺建設(shè)路徑包括：開展平臺的總體架構(gòu)設(shè)計(jì)、制定密碼服務(wù)與管理的建設(shè)方案、明確密碼服務(wù)的能力調(diào)用及應(yīng)用場景。

作者單位：張進(jìn) 郭之超 汪改革 董瑋 中國電信股份有限公司安徽分公司

參" 考" 文" 獻(xiàn)

[1]鄧清唐，蔡田田，陳波，等.基于國密算法的智能電能表安全芯片及其應(yīng)用[J].電子產(chǎn)品可靠性與環(huán)境試驗(yàn)，2022，40（04）： 85-88.

[2]張慧.基于統(tǒng)一密碼服務(wù)支撐平臺的密碼應(yīng)用建設(shè)[J].現(xiàn)代傳輸，2022（01）：44-46.

[3]賈軼，包俊嶺，呂永剛，等.可信身份認(rèn)證和標(biāo)識密碼技術(shù)的跨網(wǎng)域建設(shè)與應(yīng)用[J].電子技術(shù)與軟件工程，2021（21）：239-242.

[4]王超.密碼護(hù)航新基建 服務(wù)構(gòu)筑新防線——訪衛(wèi)士通信息產(chǎn)業(yè)股份有限公司總工程師董貴山[J].信息安全與通信保密， 2020（10）：38-43.

[5]王棟，李國春，俞學(xué)豪，等.基于量子保密通信的國產(chǎn)密碼服務(wù)云平臺建設(shè)思路[J].電信科學(xué)，2020，34（07）：171-178.

張進(jìn)（1991-），男，漢族，安徽合肥，碩士，中級工程師，研究方向：網(wǎng)絡(luò)安全、密碼安全。