密码服务平台，助力云上应用系统密评合规

• 关键词：商用密码,云上应用系统,密码服务平台
• 摘要：安盟信息基于密码基因打造安全合规、统一管理、部署灵活、服务弹性可计量的密码服务平台，助力云上应用系统密评合规。

密码技术是数字时代的基础性核心技术之一，是信息安全保护和网络信任体系建设的基础，也是保护数据安全最经济、最可靠、最有效的手段，在维护国家安全、促进经济社会发展、保护人民群众利益等方面发挥着不可替代的重要作用。

1.国家高度重视商用密码应用

近年来，我国陆续出台《中华人民共和国密码法》、《商用密码管理条例（修订草案征求意见稿）》、《信息安全技术 信息系统密码应用基本要求》等一系列法律法规和标准规范，不断完善密码法治体系框架，规范密码应用和管理，推进网络安全和密码应用工作，促进密码事业发展，保障网络与信息安全，提升密码管理科学化、规范化、法治化水平。

《国家政务信息化项目建设管理办法》、《政务信息系统密码应用与安全性评估工作指南》、《政务信息系统基本要求（征求意见稿）》等一系列政务信息系统政策文件，也对商用密码应用提出了相关要求，特别是《国家政务信息化项目建设管理办法》第三十条明确要求：“按要求采用密码技术，并定期开展密码应用安全性评估，确保政务信息系统运行安全和政务信息资源共享交换的数据安全”。

商用密码应用安全性评估（以下简称“密评”）是指在采用商用密码技术、产品和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性进行评估的活动。

按照国家对于商用密码的管理要求，针对重要领域网络和信息系统开展密评，是网络运营者和主管部门的法定责任，是规范商用密码应用、发挥商用密码作用的必要手段。它可以从根本上改变密码应用不规范、不安全的现状，确保密码在网络和信息系统中得到有效应用，切实构建起坚实可靠的网络安全密码保障，支撑网络和数据安全发展、护航数字经济安全。

2.信息系统密码应用技术合规性分析

由于各行业信息化发展程度不同，一些重要领域的网络和信息系统仍存在密码应用不规范、不安全的现象，总结下来主要有以下几方面：

(1)用户、设备身份认证强度较低

用户进入重要区域未采用密码技术或者生物识别技术进行身份鉴别。

应用系统采用低安全的“用户名+口令”身份鉴别机制。

外部设备连接到内部网络时未进行接入认证。

设备实体进行网络通信时未进行身份鉴别，或鉴别机制不安全。

(2)重要数据、程序安全防护不足

缺少对电子门禁数据、视频监控数据、通信数据、网络边界访问控制信息、系统资源访问控制信息和重要信息资源安全标记的完整性保护。

以明文形式传输和存储重要用户信息、重要业务数据，未采用密码技术对这些数据进行机密性保护。

未采用密码技术对重要可执行程序进行完整性保护并实现其来源的真实性保护。

采用了密码技术进行机密性和完整性保护，但是使用的是存在安全问题和安全强度不足的密码算法（如DES），或者使用存在缺陷或者有安全问题警示的密码技术（如SSH1.0、SSL2.0、TLS1.0）。

(3)日志记录保护措施缺失

应用系统的认证登录日志、配置操作日志等记录以明文存储在设备中，未采用密码技术对日志记录进行完整性保护，存在日志记录被非授权篡改的风险。

针对可能涉及法律责任认定的关键操作日志，未采用密码技术对这些行为日志进行不可否认性保护，出现安全事件时无法追踪溯源。

(4)远程管理通道不安全

远程管理应用系统设备时，未采用密码技术建立安全的信息传输通道。

通过不可控网络环境进行远程管理，且鉴别数据以明文形式传输。

(5)密钥管理存在安全隐患

密钥管理对于应用和数据安全是至关重要的。在应用系统的密钥实际管理过程中，存在很多安全隐患：

密钥生成时采用软随机源；随机数熵值达不到密码安全要求；

密钥分发时，密码设备的主密钥通过在线方式分发，容易造成主密钥泄露；

密钥存储、备份和归档时，密钥以明文形式存储/备份/归档在不可控的环境中，存在被非授权的访问、使用、泄露和修改的风险；

密钥使用和更新时，未建立安全的密钥使用控制机制和更新机制；

密钥销毁和撤销时，未按照设定的机制进行密钥销毁/撤销等。

3.密评利器—安盟华御密码服务平台

安盟信息按照密评要求，对应用系统的密码应用技术合规性进行深度分析，打造了安盟华御密码服务平台。平台通过集成各类通过商密检测的产品和技术，把密码能力以服务的形式输出，面向云上各类用户的不同应用，按需提供身份认证服务、签名验签服务、密码计算服务、传输加密服务和密钥管理服务等，为用户和设备的身份鉴别、日志完整性和不可否认性保护、数据传输机密性和完整性保护、数据存储机密性和完整性保护、密钥安全管理等提供基础支撑，帮助用户快速解决应用系统的密评合规问题。

安盟华御密码服务平台，助力应用系统密评合规

(1)身份认证服务

平台采用云原生技术架构，支持云上多租户环境的基于证书的身份认证，为应用系统提供统一的单点登录身份认证机制，基于组织机构（GBAC）、基于角色（RBAC）的身份认证策略管理，帮助用户满足多场景下的身份鉴别需求，解决用户身份信息真实性问题。

(2)签名验签服务

平台可基于签名验签服务器、数字证书管理系统为用户提供国密算法的签名验签服务，遵循国家密码管理局发布的GM/T 0019规范，包括签名验签、证书验证、数字信封封装等功能。为各类电子信息数据、电子文档等提供基于数字证书的数字签名服务，并可验证签名数据的真实性和有效性，满足用户在网络行为中真实性、不可否认性、完整性、机密性需求，以及部分场景下的用户身份鉴别需求。

(3)密码计算服务

平台可为用户提供适用于各类应用系统的高速的、多任务并行处理的密码计算服务, 遵循国家密码管理局发布的GM/T 0018规范，提供数据加解密功能、文件加解密功能、杂凑运算功能,保证应用系统的重要数据和文件在存储过程中的机密性和完整性。密码计算服务支持国密SM１、SM２、SM３、SM４算法。

(4)传输加密服务

平台可帮助应用系统在客户端和服务器之间采用SSL VPN安全网关建立国密算法传输加密通道，实现客户端与服务器之间传输数据的机密性和完整性保护。同时，传输加密服务还可提供授权访问控制功能，对用户访问应用的行为进行管控，防止非授权访问行为。

(5)密钥管理服务

平台可为用户提供集中统一的密钥管理服务，帮助用户轻松创建和管理密钥，实现对密钥的全生命周期安全管控。采用通过商用密码检测中心认证的硬件密码设备，按照国家主管部门认可的密钥生成方法生成高质量随机数、对称密钥和非对称密钥，提供密钥存储保护机制，保证密钥生成及存储的安全合规性。

4.典型案例—某市政务云密码应用项目

某市政务云密码应用项目部署示意图

某市政务云密码应用项目，在密码服务区部署密码服务平台、云服务器密码机等各类密码设备，在互联网接入区部署多台SSL VPN安全网关，在运维接入区部署堡垒机和运维使用的SSL VPN安全网关，在租户单位终端侧和运维侧发放USBKey。密码服务平台可集成云服务器密码机、密钥管理系统和身份认证系统等设备的能力，通过调用基础密码设备及软件的功能接口，为部署在业务应用区的各租户单位应用系统提供身份认证服务、签名验签服务、密码计算服务、传输加密服务和密钥管理服务，实现政务云平台与各租户单位之间的业务传输通道保护和运维通道保护，实现各租户单位用户登录系统时的身份认证，和应用系统重要数据的存储机密性和完整性保护。帮助各租户单位的应用系统通过密评机构开展的商用密码应用安全性评估测试，满足国家对于商用密码应用的合规要求。

安盟华御密码服务平台产品功能图

5.安盟华御密码服务平台，助力云上应用系统密评合规

安盟信息基于密码基因打造安全合规、统一管理、部署灵活、服务弹性可计量的密码服务平台，采用多模式资源集成技术，通过整合各种密码设备和系统、数据安全防护产品，打造服务化、场景化，易于行业快速对接集成的服务能力，对外向应用系统提供各类密码服务和数据安全服务，提高用户业务应用系统的安全防护水平，帮助应用系统快速满足等保和密评要求，推动商用密码技术在政务云上的应用，助力网络安全事业发展，筑牢数字安全屏障体系，为数字经济发展保驾护航。