1、背景信息
1.1 市场现状
随着云计算产业的蓬勃发展，许多重要业务系统迁入云平台中，使得云计算的安全保障越来越重要。密码是保障网络与信息安全的核心技术和基础支撑，是解决网络与信息安全问题最有效、最可靠、最经济的手段。我国高度重视密码技术在网络安全保障中的作用，把密码作为国家的重要战略资源，在各个重要应用领域全面推广国产密码算法应用。
1.2 风险挑战
密码技术用于保护数据和建立信任，实现网络中的数据加密、身份认证、业务防抵赖等功能，能够被应用于网络的各个层次中。在不同的网络层次中，通过不同的密码协议，保护数据在传输、存储和使用中的安全。云计算是一种新的信息系统部署方式，云计算中各个网络层次的安全需求依然需要密码技术的支撑保护。但是云计算对信息资源的集中化、共享化、服务化部署需求对密码技术的应用提出了新的要求，密码技术要适应云服务化，密码产品或系统需要满足云服务化的需求。
1.2.1 业务系统云密码应用需求
大量业务系统上云后，面临着数据存储、数据共享、多用户等带来的安全问题，需要建立数据加密存储和传输机制，保障数据存储和传输安全；需要建立统一身份认证机制，应对海量身份认证问题。具体如下：
1.2.1.1网络传输密码应用需求
信息系统的各个通信主体（客户端、服务端）在网络通信前存在未使用国产密码技术对通信双方进行验证的情况，无法保证接入设备身份的真实性，有信息系统被非授权访问的风险；在信道安全上，未通过国产密码技术对传输过程中的数据进行机密性和完整性保护，存在通信数据在信息系统外部被非授权截取、非授权篡改风险。
1.2.1.2各类设备密码应用需求
针对于通用服务器（如应用服务器、数据库服务器）、堡垒机等设备，存在如下密码应用需求：
- 运维管理员通常使用用户名口令登录运维系统，未使用国产密码技术对管理员登录进行身份鉴别，存在设备被非授权人员登录、身份鉴别数据被非授权使用等风险。
- 在建立安全信息传输通道时，可能存在未使用合规的密码协议的情况，存在搭建的集中管理通道被非法授权使用，或传输的管理数据被非授权获取、非授权篡改风险。
- 设备本身未采用国产密码技术对系统资源的访问控制信息、设备日志进行完整性保护，存在系统资源的访问控制信息、设备日志被非授权篡改与非授权破坏的风险。
1.2.1.3应用数据密码应用需求
信息系统的登录用户通过互联网/专网访问系统时，一般采用用户名口令进行登录身份鉴别，未使用国产密码技术对登录用户进行身份鉴别，存在应用被非授权人员登录风险。
针对于信息系统的敏感数据（如用户登录身份鉴别信息、在系统中流转的业务数据）而言，普遍采用MD5算法、RSA-1024或其他国际算法实现数据加密保护，未使用国产密码技术进行传输与存储机密性、完整性保护，需要进行国产算法替换，确保数据安全。
针对于存在电子签名、电子公文等业务的信息系统而言，均未采用国产密码技术提供数据原发证据和数据接收证据，需要进行国产算法替换，确保数据安全。
1.2.2 云管理及审计密码应用需求
云管理需要应用密码技术建立大规模密钥管理体系，进行密钥产生、分发、运算以及销毁等管理，保障用户密钥安全；需要建立数据管理体系，进行数据加密存储、访问控制、安全共享等，保障数据安全。
在安全审计方面，需要应用密码技术建立行为记录机制、操作日志记录机制，确保发生安全问题后，事件能回放，操作能追溯，记录数据应加密存储并进行有效签名，保障数据机密性、完整性和抗抵赖性。
2、产品介绍
2.1 产品简介
为构建安全可靠的云环境，保障云计算平台中各类业务系统的安全，推出密码服务平台，根据负载动态调整基础密码设施的规模，实现密码运算资源的动态调整和灵活调度，为用户提供按需高效、弹性可扩展的密码服务，保证传输信息的机密性、完整性和有效性，确保设备和用户的身份真实性，同时提供安全、完善的密钥管理机制。
2.2 产品架构
平台密码服务设计分为密码服务层、密码支撑层、密码资源层以及密码管理后台。
- 密码服务层：密码服务层是经过功能封装的密码功能服务，能够为信息系统提供各类密码服务，包括但不限于密钥管理服务、加解密微服务、身份认证服务、完整性校验服务、传输加密服务、存储加密服务、安全通道服务等。密码服务层主要由密码服务API组成。密码服务API技术符合商用密码行业标准。密码服务支持租户的密码服务应用，支持云租户到云平台的传输密码保护，支持数据存储密码保护、支持管理员的登录认证和数据传输保护，支持租户的登录认证。
- 密码支撑层：密码支撑层基于密码资源层中的密码基础设施，能够把面向各应用场景的密码功能集合在一起，打包成易部署、易使用的虚拟机模板、微服务模板软件，在云中以虚拟机实例、微服务实例、软件中间件的形态提供服务，包括但不限于统一密钥管理平台、透明传输加密系统、数据库加密软件等。
- 密码资源层：密码资源层作为密码服务平台的密码基础设施，密码基础设施包括但不限于服务器密码机、云服务器密码机、SSL VPN安全网关等。通过密码基础设施的集群化部署，采用虚拟化技术和云管理技术，形成符合信息系统密码应用要求的商用密码资源池，为建立安全密码保障体系提供密码底层支撑。
3、产品功能
3.1 密码服务体系
密码服务平台根据商用密码应用安全性评估的要求构建密码服务体系，满足信息系统的密码需求。
- 密钥管理服务：密钥管理服务包括密钥生成、分发、存储、使用、更新、归档、备份、恢复和销毁等全生命周期的管理。
- 加解密微服务：通过密码服务平台提供的加解密微服务，针对高频次、低流量的数据流提供数据传输的加解密服务。加解密微服务是一种基于http协议的数据加密服务，资源支撑主要依靠服务器密码机。信息系统数据在传输前由http发起加解密请求，请求通过后，数据在服务器密码机中进行加密，最终以密文形式进行传输。同时，这种微服务支持对调用频次、密钥使用做限制，对各个应用调用服务器密码机做详细记录。加解密微服务解决了http协议在传输过程中，数据以明文的形式暴露在网络中的现象，保证了数据在传输过程中的机密性和完整性需求。
- 数字签名服务：对数字签名以及验证接口进行封装，并按照一定接口规范提供给各个信息系统。信息系统通过调用密码服务平台的数字签名服务，完成对数据的数字签名和签名验证，并支持校验设备的身份真实性。
- 完整性校验服务：对国产数据哈希运算服务接口进行封装，以统一的服务接口规范向各个信息系统提供数据完整性保护接口。信息系统通过调用密码服务平台的完整性校验服务，完成对重要数据的完整性保护。
- 身份认证服务：对协同签名以及验证接口进行封装，并按照一定接口规范提供给各个业务系统。业务系统通过调用密码服务平台封装后的接口，调用身份认证服务，采用密钥分割技术和协同签名技术，完成对登录信息系统的用户的身份校验。
- 传输加密服务：通过密码服务平台提供的字段级、全流量的传输加密服务，为用户终端到云服务端提供用户数据加密传输能力。数据加密后，在传输时以密文形式存在。传输加密服务采用标准的国密SM2、SM3、SM4加密算法，严格遵循国家密码管理局商用密码产品有关密码算法的使用要求和技术规范，满足合规性要求。
- 存储加密服务：存储加密服务支持对数据库进行表级别的透明加密、全字段以及敏感字段加密。本服务对现有外网用户系统架构无侵入，数据最终以密文形式保存到业务数据库，实现信息系统内基本保护对象的加密存储保护，有效防止数据在存储环节的泄露风险。
- 时间戳服务：对时间戳服务接口进行封装，以统一的服务接口规范向各个信息系统提供时间戳服务，用于证明原发数据的产生时间，支撑公钥基础设施的不可否认服务。
- 安全通道服务：提供链路加密资源，满足用户多种基础安全需求，支持服务器之间数据传输安全、移动终端设备的接入安全等，为各个信息系统提供高强度的安全通道服务。
3.2 安全管理体系：
密码服务平台提供丰富的密码资源调度与管理功能。
3.2.1 租户权限分级管理
根据不同单位的权限划分，提供密码资源的权限分级设置。支配权限度高的单位，能够自主进行本单位内密码服务平台的系统管理、服务管理、状态管理；支配权限度低的单位，仅支持查看本单位内的密码资源数据。
3.2.2 密码资源动态调度
聚焦业务需求，利用平台化手段实现密码能力的整合、复用，实现各类密码服务及密码计算资源按需分配、动态调度，灵活调整密码资源池中的密码资源与信息系统的对应关系，满足信息系统的签名/验签、加密/解密等密码需求。
3.2.3 资源状态监测预警
密码资源是指密码服务的基础支撑平台中各类密码软硬件的资源名称、设备当前连接数、CPU使用率、内存使用率、内存总量、磁盘使用率、磁盘总量等信息。支持密码资源监测功能，能够准确度量密码服务平台的各项指标，量化说明CPU、带宽、硬盘等各个密码资源的使用情况；提供自动报警服务。
3.2.4 密码资源统计分析
能够根据不同用户单位的政务信息系统对各项密码服务的使用情况，提供平台运行态势的全景展示，并形成相关数据分析图表，图表内容包括但不限于各项密码服务的使用情况、密码基础设施的使用情况等。
4、产品特点
4.1 多云、多机房、多租户，密码资源统一管理
面向多云、多机房、多租户的场景，通过多套密码资源池的搭建，建设统一的密码管理平台，减少基础设施重复投资，避免密码系统重复建设，实现各类密码资源的统一管理与调度，降低开发、运营和运维成本，极大节省了信息化运维的投资成本。
4.2 轻量化改造，尽可能避免业务系统改造
密码服务平台提供多类型的密码服务，包括无需信息系统集成改造的透明传输加密、透明存储加密、加解密微服务等，能够应对云平台上多样化的信息系统，满足不同应用在密评上的需求，减少系统二次改造的成本。
4.3 部署灵活，云架构改动小
密码服务平台分为两部分：一是密码资源池，作为独立资源池部署，无需投入额外的服务器资源；二是管理后台，支持独立服务器部署，也支持复用云平台资源进行云内部署，与密码资源池网络可达即可。
4.4 安全服务弹性扩容
业务系统在持续使用密码服务平台时，可能会出现需加密的数据激增、并发访问量过载等情况。密码服务平台对此提供全面的扩容方案，从服务、数据、硬件三个维度保障密码服务的循环使用、动态分配。
- 服务可扩展：密码服务平台支持各个密码服务的扩展，具体可分为事前、事中、事后三个阶段。
- 事前监测预警：通过密码服务平台的状态监测功能，系统管理员可查看各类资源的使用情况、资源使用的历史曲线情况、各信息系统对于不同业务的资源分配情况等。资源类型包括CPU、带宽、磁盘资源等。
- 事中平滑过渡：通过各类资源配置策略，完成资源再分配前的平滑过渡，确保信息系统中的重要数据不受影响。如：削峰处理，当资源池中没有冗余资源时，密码服务平台支持根据系统管理员事先选择的优先级靠后的信息系统或某项业务进行削峰处理，限制其流量，降低速率，等待新的密码资源出现再恢复。
- 事后服务扩展：通过各类资源配置策略，有效解决密码资源不够的情况。如：扩容机制，系统管理员可在冗余的资源池中，掉配新的密码资源给某个信息系统或某项业务，实现弹性扩容。
- 数据可扩展：密码服务平台支持数据层面的扩展，通过使用分布式关系型数据库，有效解决数据过载后，导致的搜索变慢、数据丢失的情况，实现负载均衡、数据自动备份与恢复等功能。
- 硬件可扩展：当资源池中没有冗余资源时，可以通过再次采购密码设备，提供新的虚拟化资源，确保密码服务的正常运行。
5、典型应用场景
5.1 政务云租户密码应用场景
5.1.1 场景描述
根据GB/T39786-2021《信息安全技术信息系统密码应用基本要求》，用户需要在政务云搭建密码资源池，组建各类密码服务，为云上系统提供合规的密码服务。
- 结合当前政务云架构，搭建密码资源池
- 各类密码服务需能确保多类型业务系统的密评需求
- 一期建设的资源池体量能够满足两个系统的密评需求
- 通过打造密评样板间，促使多个云上系统来调用密码服务
5.1.2 典型部署方案
在政务云机房的政务外网区、互联网区分别部署密码基础设施，构建两套密码资源池，建设一套密码管理后台。
5.1.3 客户收益
- 通过在政务云部署密码资源池，满足试点系统的密评需求，打造密评样板间。
- 体现“集约化”的理念，减少了各单位为满足密码应用安全性评估的需要而重复投资密码基础设施。
- 加强用户单位对业务数据、互联网数据等不同领域数据资源的监督管理，确保合法用户访问合法数据，保证相关行为的不可抵赖性。
