商用密碼技術在中央企業(yè)商業(yè)秘密保護中的應用

王海濤

商用密碼技術在中央企業(yè)商業(yè)秘密保護中的應用

王海濤

中國電力建設股份有限公司信息化管理部，北京100048

近年來中央企業(yè)越來越重視商業(yè)秘密，并采取了一系列的措施來保證企業(yè)內(nèi)網(wǎng)的安全。但是中央企業(yè)商業(yè)秘密數(shù)據(jù)泄露事件依然頻發(fā)，歸根結(jié)底是針對商密數(shù)據(jù)本身的保護不夠。商用密碼技術是商業(yè)秘密保護中的關鍵技術。本文對中央企業(yè)商密數(shù)據(jù)全生命周期中各個階段的安全風險進行分析，并引入商用密碼技術來解決這些問題，實現(xiàn)對商業(yè)秘密數(shù)據(jù)本身的保護。

中央企業(yè)商業(yè)秘密、商用密碼技術、全生命周期

0 引言

中央企業(yè)商業(yè)秘密是中央企業(yè)的重要無形資產(chǎn)，是企業(yè)的核心競爭力所在［1－3］。商業(yè)秘密一旦泄露將會對企業(yè)和國家經(jīng)濟造成巨大的損失。各企業(yè)紛紛加強企業(yè)網(wǎng)絡安全建設，在基礎網(wǎng)絡上加入了防火墻、漏洞掃描系統(tǒng)、網(wǎng)絡審計系統(tǒng)、入侵檢測系統(tǒng)、密碼機等傳統(tǒng)的網(wǎng)絡安全設備。但是企業(yè)的商業(yè)秘密仍然存在非常嚴重的泄密風險如文件被隨意拷貝到移動設備上、文件被隨意發(fā)送到外網(wǎng)上、文件被隨意打印等。

商業(yè)秘密泄露事件頻發(fā)歸根結(jié)底是針對商業(yè)秘密數(shù)據(jù)本身的保護不夠。商用密碼技術是保護商業(yè)秘密數(shù)據(jù)的關鍵技術，是對傳統(tǒng)的網(wǎng)絡安全保護措施的一個補充。目前將商用密碼技術應用在中央企業(yè)商業(yè)秘密保護中的研究非常少。本文針對如何在商業(yè)秘密數(shù)據(jù)保護中應用商用密碼技術進行研究。首先對商密數(shù)據(jù)全生命周期各個階段存在的安全風險進行分析，然后選取相應的商用密碼技術去防范這些風險，從而實現(xiàn)對商密數(shù)據(jù)全生命周期的安全保護。

1 商用密碼技術

商用密碼技術［4，5］是指對不涉及國家秘密內(nèi)容的信息進行加密保護或者安全認證使用的密碼技術。商用密碼技術中涉及的密碼算法主要有對稱密碼算法、非對稱密碼算法、雜湊算法等。對稱密碼算法又稱單密鑰算法，該算法的加密密鑰和解密密鑰相同，并且這個密鑰必須保密的。對稱密碼算法又分為分組密碼算法和流密碼算法。非對稱密碼算法有一個公私鑰對，公鑰是公開的，私鑰由用戶自己保密，該算法既可以用來加密數(shù)據(jù)，也可以對數(shù)據(jù)進行簽名。雜湊算法將任意長的輸入消息串轉(zhuǎn)換成固定長度的輸出串，該算法具有單向性即由輸出不能得出輸入，因此該算法不能用來加密數(shù)據(jù)，只能用于數(shù)據(jù)完整性認證。

基于這些基礎的密碼算法衍生出一些密碼技術如數(shù)字簽名、數(shù)字信封機制、HMAC等等。

數(shù)字簽名技術是指將消息使用散列算法進行散列，然后用私鑰對摘要進行加密得到數(shù)字簽名。消息接收方可通過驗證簽名來確定消息的完整性以及鑒別消息的來源。數(shù)字信封機制是用來對信息進行安全傳輸?shù)囊环N技術，該機制中采用對稱密碼算法對消息進行加密，然后用非對稱密碼算法對對稱密鑰進行加密。接收方使用自己的私鑰解密對稱密鑰，然后用對稱密鑰解密消息。HMAC是用來對消息進行完整性認證的一種技術，HMAC是帶密鑰的單向散列算法，只有擁有密鑰的人才對驗證HMAC值。

2 商業(yè)秘密全生命周期介紹

商業(yè)秘密數(shù)據(jù)分為結(jié)構(gòu)化和非結(jié)構(gòu)化商密數(shù)據(jù)，非結(jié)構(gòu)化商密數(shù)據(jù)主要以電子文件的形式存在，由于電子文件管控難度較大，存在非常大的泄密風險。本研究指針對非結(jié)構(gòu)化商密數(shù)據(jù)保護進行研究，商業(yè)秘密數(shù)據(jù)應該從整個生命周期角度進行安全防護。商業(yè)秘密的整個生命周期劃分為形成、流轉(zhuǎn)及應用、存儲、脫密及銷毀四個階段。非結(jié)構(gòu)化商密數(shù)據(jù)形成階段主要包括文件的起草、定密、審核及批準等，商業(yè)秘密的形成階段主要以密級標識的設定與管理為核心。流轉(zhuǎn)階段包括商密數(shù)據(jù)內(nèi)部網(wǎng)絡應用與外部網(wǎng)絡傳輸階段，商業(yè)秘密的流轉(zhuǎn)與應用階段主要以商密數(shù)據(jù)安全管控為核心。存儲階段主要包括終端存儲、服務器存儲以及非信息系統(tǒng)存儲，商密數(shù)據(jù)存儲階段主要以商密數(shù)據(jù)保護為核心。脫密及銷毀階段主要包括信息系統(tǒng)中處理商密數(shù)據(jù)的設備、存儲介質(zhì)以及商密數(shù)據(jù)本身等進行脫密或銷毀。

3 非結(jié)構(gòu)化商密數(shù)據(jù)風險分析

非結(jié)構(gòu)化商密數(shù)據(jù)形成階段的安全風險主要在于文件的起草和定密上。文件的起草是在終端上進行，如果文件以明文的方式存放在終端上，非常容易發(fā)生文件泄露以及被隨意篡改事件。文件的定密是指對文件加一個密級標識，一旦定密完成，密級標識與文件應保證不可分離并且不可隨意篡改，否則將會存在商密文件管理混亂、不可信的問題。

商密數(shù)據(jù)的流轉(zhuǎn)與應用階段的安全風險主要有傳輸泄密、傳輸信息被篡改、通信雙發(fā)否認通信內(nèi)容等。商密數(shù)據(jù)在內(nèi)部流轉(zhuǎn)時多以明文的方式進行傳輸，很容易被有企圖的人通過黑客技術獲得，存在泄密的風險。企業(yè)商密數(shù)據(jù)以明文的形式在外部網(wǎng)絡中傳輸，存在信息被竊取、信息被篡改、通信雙方否認通信內(nèi)容的風險，將會給企業(yè)造成重大的經(jīng)濟損失。商密數(shù)據(jù)的應用階段應做好訪問控制工作，禁止沒有權(quán)限的人員訪問和操作商密數(shù)據(jù)，防止商密數(shù)據(jù)在應用階段的泄密。

商密數(shù)據(jù)的存儲包括終端數(shù)據(jù)存儲和服務器數(shù)據(jù)存儲兩方面。企業(yè)的終端上存儲了大量的商業(yè)秘密信息，這些信息多以明文方式進行存儲，存在非常大的泄密風險。另外存儲在終端上的商密數(shù)據(jù)應做好嚴格的訪問控制，防止非授權(quán)人員獲取商密數(shù)據(jù)。終端上的商密數(shù)據(jù)導出到移動存儲介質(zhì)中時，也應防范因移動存儲介質(zhì)丟失導致的泄密。企業(yè)服務器一旦被非法分子入侵，服務器上的商密數(shù)據(jù)將會被泄露，甚至被惡意篡改、破壞，對企業(yè)造成巨大的損失。

商密數(shù)據(jù)的脫密及銷毀階段主要是商密數(shù)據(jù)解密成為非商密數(shù)據(jù)以及銷毀商密數(shù)據(jù)。該階段存在的安全風險主要是商業(yè)秘密數(shù)據(jù)銷毀不徹底，造成商業(yè)秘密的泄露。

4 商用密碼技術在商業(yè)秘密保護中的應用

商用密碼技術是商業(yè)秘密保護中的關鍵技術，在上述的安全風險分析的基礎之上，選擇合適的商用密碼技術來實現(xiàn)商密數(shù)據(jù)的全方位的保護［6－8］。

(1)商用密碼技術在商業(yè)秘密形成階段的應用

在商業(yè)秘密形成階段引入了對稱密碼技術、HMAC、數(shù)字水印技術等來解決該階段存在的商業(yè)秘密泄露問題。在文件起草階段為了防止商密文件被非法獲取，使用SM4算法對商密文件進行加密。加密之后即便是其他人竊取了商密文件，由于沒有密鑰也無法對數(shù)據(jù)進行解密，從而保證了商密數(shù)據(jù)不會泄露。通過使用對稱密碼技術保證了商密數(shù)據(jù)的機密性，還應保證商密數(shù)據(jù)的完整性。HMAC是保證數(shù)據(jù)完整性常用的一種技術，選用散列算法SM3來計算HMAC，通過驗證HMAC即可確定商密數(shù)據(jù)是否被篡改。為了保證密級標識與商密文件不可分離并且不可篡改，引入了數(shù)字水印技術。采用數(shù)字水印技術將密級標識直接嵌入到文件中，保證了密級標識與商密文件不可分離以及不可篡改。數(shù)字水印技術中使用了數(shù)字簽名技術對水印信息進行簽名，在該技術中選用非對稱密碼算法SM2以及散列算法SM3。

(2)商用密碼技術在商業(yè)秘密流轉(zhuǎn)及應用階段的應用

在商業(yè)秘密流轉(zhuǎn)及應用階段引入了數(shù)字信封機制、數(shù)字簽名等來解決該階段存在的商業(yè)秘密泄露問題。在商業(yè)秘密傳輸過程中為了防止商業(yè)秘密被竊取，使用數(shù)字信封機制來保護信息的機密性，在該機制中選用SM2和SM3算法。為了保證傳輸過程中商密數(shù)據(jù)的完整性，使用數(shù)字簽名技術對商密數(shù)據(jù)進行簽名，數(shù)字簽名技術中選用國密算法SM2和SM3。

(3)商用密碼技術在商業(yè)秘密存儲的應用

在商業(yè)秘密存儲階段主要應用對稱密碼技術、HMAC技術來解決該階段的泄露問題。商業(yè)秘密存儲在終端和服務器上，采用SM4算法對數(shù)據(jù)進行加密，防止未授權(quán)人竊取機密信息。為了防止商密數(shù)據(jù)被篡改引入了HMAC技術，該技術中選用國密算法SM3。當需要將商密數(shù)據(jù)導出到移動介質(zhì)中時，也需要使用SM4算法對數(shù)據(jù)進行加密。

(4)商用密碼技術在商業(yè)秘密脫密及銷毀階段的應用

商業(yè)秘密脫密主要是對加密的商密數(shù)據(jù)進行解密，去掉密級標識，這些數(shù)據(jù)以后不再作為商業(yè)秘密進行保護。商業(yè)秘密銷毀主要是采取一些數(shù)據(jù)擦除技術對涉密載體進行擦除或者直接銷毀涉密載體。

5 結(jié)束語

本文深入研究了商業(yè)秘密全生命周期中各個階段存在的安全風險，并針對這些安全風險引入相應的商用密碼技術。商用密碼技術能非常好的解決商密數(shù)據(jù)保護中的安全問題，未來將在商密數(shù)據(jù)保護中廣泛應用。接下來將繼續(xù)針對商密數(shù)據(jù)保護進行研究，提出一種適用于所有企業(yè)商業(yè)秘密保護的商用密碼技術框架。

［1］向超．論國有企業(yè)商業(yè)秘密保護機制的完善—以《中央企業(yè)商業(yè)秘密保護暫行規(guī)定》為分析范本［J］．企業(yè)改革與管理，2015 (1):165－166．

［2］劉巧玲．企業(yè)“商業(yè)秘密”保護的現(xiàn)狀與對策［J］．武漢冶金管理干部學院學報，2006，16(1):27－29．

［3］王磊．談網(wǎng)絡時代的商業(yè)秘密保護問題［J］．商業(yè)時代，2010(1):103－104．

［4］郭寶安，尹剛，羅世新．商用密碼基礎設施的現(xiàn)狀和發(fā)展趨勢［J］．信息安全與通信保密，2009(8):80－83．

［5］王長喜．商用密碼回顧與展望［J］．信息網(wǎng)絡安全，2010(1):5．

［6］魏曉燕，紀方．商用密碼在鐵路的應用［J］．鐵路計算機應用，2013，22(8):43－49．

［7］高良謨，丁榮興，潘利華．應用商用密碼技術保護信息安全［J］．信息技術，2002(11): 79－89．

［8］郭寶安，尹剛，羅世新．數(shù)字電視中商用密碼應用技術研究［J］．信息安全與通信保密，2009(6):97－100．

Application of Commercial Cipher Technology in the Protection of Business Secrets of Central Enterprises

Wang Haitao
Department of Information Management，Power Construction Corporation of China，Ltd．，Beijing 100048，China

Recently，central enterprises of China pay more and more attention to business secrets，and take a series of measures to ensure enterprise intranet safety．But the leakage incidents of business secret are still very frequent;in the final analysis we find that the protection of business secret data itself is still not enough．Commercial cipher technology is very important in the protection of business secrets．In this paper，we analyze the security risk of the business secret in the whole life cycle，and introduce the commercial cipher technology to solve these problems．

business secrets of central enterprises;commercial cipher technology;life cycle

F716

A

1672－464X(2016)2－93－04

(責任編輯:)

王海濤(1972—)男，四川，碩士研究生，高級高級工程師，主要研究方向:企業(yè)信息安全。