密碼技術(shù)在油田信息系統(tǒng)安全管理中的應(yīng)用研究

趙澤陽，黃 林，咸國明，李 偉

（新疆油田數(shù)據(jù)公司，新疆 克拉瑪依 834000）

0 引 言

近年來，隨著我國石油行業(yè)信息化進程不斷加快，信息化水平全面提升，信息技術(shù)與油田業(yè)務(wù)融合程度逐步加深，信息化發(fā)揮效益更加顯著，方便了職工各項工作的開展，但也面臨諸多網(wǎng)絡(luò)安全隱患，如2013 年曝光的“RSA 后門”事件、2017年爆發(fā)的新型勒索病毒W(wǎng)annaCry 等，屢次敲響網(wǎng)絡(luò)安全警鐘。網(wǎng)絡(luò)攻擊從最初的自發(fā)式、分散式攻擊轉(zhuǎn)向?qū)I(yè)化的有組織行為，呈現(xiàn)出攻擊工具專業(yè)化、目的商業(yè)化、行為組織化等特點。一旦關(guān)鍵業(yè)務(wù)系統(tǒng)、重要業(yè)務(wù)數(shù)據(jù)遭到攻擊破壞，發(fā)生重大安全事件，將導(dǎo)致基礎(chǔ)設(shè)施癱瘓，造成災(zāi)難性后果，嚴重危害國家經(jīng)濟安全和公共利益。

密碼作為網(wǎng)絡(luò)安全防護的重要手段，在信息系統(tǒng)防護中發(fā)揮著不可替代的重要作用，根據(jù)國家對商用密碼應(yīng)用推進的相關(guān)指示精神和要求，以及《金融和重要領(lǐng)域密碼應(yīng)用與創(chuàng)新發(fā)展工作規(guī)劃（2018—2022 年）》的工作安排，結(jié)合油田信息化實際情況，建設(shè)基于國產(chǎn)密碼統(tǒng)一身份認證的基礎(chǔ)設(shè)施，為油田信息系統(tǒng)和基礎(chǔ)網(wǎng)絡(luò)提供統(tǒng)一的密碼、統(tǒng)一的用戶管理、統(tǒng)一的權(quán)限管理等服務(wù)，基于密碼技術(shù)實現(xiàn)敏感數(shù)據(jù)的加密保護［1］，為辦公網(wǎng)、安全認證基礎(chǔ)設(shè)施等提供密碼服務(wù)保障，進一步增強油田的網(wǎng)絡(luò)安全保障能力。

1 密碼技術(shù)應(yīng)用現(xiàn)狀

1.1 國外現(xiàn)狀

目前最為人所關(guān)注的實用密碼技術(shù)是公鑰基礎(chǔ)設(shè)施（Public Key Infrastructure，PKI）技術(shù)，也是目前使用最廣泛的網(wǎng)絡(luò)安全技術(shù)。一些人使用公開密鑰技術(shù)和數(shù)字證書技術(shù)來確保認證安全，開發(fā)PKI 的進展迅速。20 世紀90 年代以來，美國、加拿大、英國、德國、日本和新加坡等國相繼開展了可信第三方認證體系的研究和建設(shè)工作?；赑KI 的RSA 加密算法是目前網(wǎng)絡(luò)上進行通信保密傳輸和數(shù)字簽名的有效的安全算法之一，具有成熟度高、安全性高、易于理解等特點。

1.2 國內(nèi)現(xiàn)狀

密碼技術(shù)是網(wǎng)絡(luò)安全的核心技術(shù)，是信息保護和網(wǎng)絡(luò)信息體系建設(shè)的基礎(chǔ)，是保障網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)。在我國目前信息安全行業(yè)所涉及的基礎(chǔ)設(shè)施中，大多數(shù)設(shè)備的中央處理器（Central Processing Unit，CPU）仍然是Intel 等國外公司生產(chǎn)的。操作系統(tǒng)中微軟、蘋果公司的系統(tǒng)占據(jù)了大部分市場，甚至一些物聯(lián)網(wǎng)芯片也集成了RSA/AES 等國外密碼算法。

我國信息產(chǎn)業(yè)起步較晚，短期內(nèi)難以規(guī)模替換CPU、操作系統(tǒng)，存在大量不可控因素，易被不法分子利用攻擊，所產(chǎn)生的損失將不可估量，而使用國產(chǎn)自主的密碼算法以及自主的密碼系統(tǒng)對關(guān)鍵信息實施保護，可以快速大幅提升我國信息安全水平。近年來，我國研制了多個商用密碼算法，其中非對稱算法有SM2 和SM9，可以和摘要算法SM3、對稱加密算法SM4 組合適用于不同的應(yīng)用場景［2］。SM9 算法是一種新型的基于標識的密碼算法（Identity-Based Cryptography，IBC），適用于基于互聯(lián)網(wǎng)、大數(shù)據(jù)、云計算技術(shù)的各種新興應(yīng)用的安全保障，近年來得到迅速發(fā)展。我國從2013 年開始逐步推進國產(chǎn)算法，SM9算法正式成為國家標準并被納入國際標準體系，國密產(chǎn)品得到廣泛應(yīng)用。

1.3 油田現(xiàn)狀

隨著信息技術(shù)的發(fā)展，油田信息化系統(tǒng)建設(shè)初期的規(guī)劃已無法滿足現(xiàn)階段發(fā)展需求，油田各辦公設(shè)備、運維管理系統(tǒng)的密碼使用相對獨立和分散，缺少統(tǒng)一管理。當(dāng)前在用的設(shè)備包括桌面終端、打印機、攝像頭、應(yīng)用服務(wù)器等存在諸多問題：一是這些設(shè)備目前數(shù)據(jù)傳輸均采用明文方式，且接入服務(wù)端系統(tǒng)的認證仍使用傳統(tǒng)方式；二是在部分工控網(wǎng)絡(luò)中的設(shè)備缺少統(tǒng)一認證與統(tǒng)一管理；三是現(xiàn)有統(tǒng)一身份認證系統(tǒng)已難以滿足業(yè)務(wù)發(fā)展需要。

基于國內(nèi)外及油田現(xiàn)狀，現(xiàn)在急需建設(shè)一套軟硬件國產(chǎn)化、安全的統(tǒng)一身份認證系統(tǒng)［3］，為辦公系統(tǒng)、工業(yè)控制設(shè)備等重要應(yīng)用系統(tǒng)提供“統(tǒng)一身份、集中管理、簡化應(yīng)用、保障安全”的管理服務(wù)。平臺的建設(shè)在滿足統(tǒng)一認證管理要求的同時，能夠進一步提升用戶使用的安全性和便利性，同時實現(xiàn)所有接入設(shè)備的統(tǒng)一認證管理。

2 密碼技術(shù)概述

標識密碼技術(shù)（IBC）［4］是傳統(tǒng)公開密碼技術(shù)（Public Key Cryptosystem，PKC）的重要補充，它將復(fù)雜的公鑰簡化為用戶的身份標識（如手機號碼、郵件地址等），這樣在安全通訊前就不需要申請和交換證書，從而大大降低安全系統(tǒng)的復(fù)雜性，也降低了密碼系統(tǒng)的建設(shè)和運維成本，特別適合海量用戶的加密應(yīng)用。標識密碼系統(tǒng)具有天然的密鑰委托功能，便于國家機關(guān)對網(wǎng)絡(luò)加密數(shù)據(jù)進行監(jiān)控。企業(yè)級安全應(yīng)用同樣可受益于標識密碼系統(tǒng)的簡潔性和密鑰委托功能，在方便實現(xiàn)數(shù)據(jù)加密的同時，可以簡潔、安全地實現(xiàn)數(shù)據(jù)恢復(fù)功能。

國家密碼管理局高度重視標識密碼技術(shù)的應(yīng)用前景，制定了SM9 基于雙線性對的標識密碼算法［5］。伴隨著我國將網(wǎng)絡(luò)安全確立為國家戰(zhàn)略，推動國產(chǎn)密碼算法在網(wǎng)絡(luò)安全領(lǐng)域廣泛應(yīng)用，SM9將在保護國家、單位和個人信息安全方面發(fā)揮重要作用。

SM9 標識密碼機作為SM9 密碼應(yīng)用系統(tǒng)中的基礎(chǔ)部件［5］，在SM9 安全應(yīng)用系統(tǒng)中起到支撐作用，能夠為安全應(yīng)用提供包括標識私鑰生成、基于標識的加解密、簽名驗簽等安全服務(wù)。SM9 標識密碼機可以廣泛應(yīng)用于包括電子政務(wù)、金融支付、稅務(wù)票據(jù)、企業(yè)移動辦公、智能設(shè)備互聯(lián)、互聯(lián)網(wǎng)應(yīng)用安全，如云存儲安全以及個人隱私保護等方面。

3 國產(chǎn)密碼技術(shù)在油田信息系統(tǒng)安全管理中的具體應(yīng)用

3.1 標識密碼機建設(shè)

遵循國家密碼管理局相關(guān)管理要求，結(jié)合油田密碼應(yīng)用實際需要，在油田部署密碼基礎(chǔ)設(shè)施平臺，建立一套標識密碼機系統(tǒng)，為業(yè)務(wù)提供相對底層的密碼運算服務(wù)支撐，涵蓋密鑰生成計算、加密、解密、摘要、密鑰管理等相關(guān)功能，支持對稱、非對稱等國際、國內(nèi)密碼算法。

3.2 標識密鑰管理系統(tǒng)建設(shè)

建設(shè)一套標識密鑰管理系統(tǒng)，設(shè)計基礎(chǔ)密鑰管理、標識密碼屬性管理、密碼資源接口以及基礎(chǔ)密碼服務(wù)等功能模塊，實現(xiàn)如下功能。

3.2.1 基礎(chǔ)密鑰管理模塊

負責(zé)基礎(chǔ)密鑰生命周期管理，具有密鑰管理、密碼服務(wù)用戶管理等功能。

3.2.2 標識密碼屬性管理模塊

具有標識注冊、標識管理、私鑰分發(fā)、私鑰管理、參數(shù)管理、密鑰查詢統(tǒng)計、私鑰導(dǎo)出和接口服務(wù)等功能。

3.2.3 密碼資源接口模塊

密碼資源接口模塊用于提供相應(yīng)的密鑰管理、密碼服務(wù)，負責(zé)處理密碼服務(wù)中每個模塊發(fā)起的密碼請求，包括密鑰訪問處理、密碼運算等。密碼資源接口可以針對密碼機進行資源的動態(tài)分配，提升密碼機的運行性能，同時保證密碼機業(yè)務(wù)的可靠性。

3.3 身份認證管理系統(tǒng)建設(shè)

在油田部署一套統(tǒng)一身份認證管理系統(tǒng)［3］，實現(xiàn)對用戶、辦公設(shè)備、物聯(lián)網(wǎng)設(shè)備服務(wù)的標準化、精準化、便捷化、平臺化和協(xié)同化。在已有應(yīng)用體系下，構(gòu)建一套統(tǒng)一、高效、安全的統(tǒng)一身份認證平臺，需要滿足現(xiàn)有業(yè)務(wù)系統(tǒng)傳統(tǒng)WEB 端及未來移動端、物聯(lián)網(wǎng)等多領(lǐng)域的需求，在實現(xiàn)業(yè)務(wù)系統(tǒng)數(shù)字化、網(wǎng)絡(luò)化、智能化的同時，達到服務(wù)內(nèi)容規(guī)范化、服務(wù)便捷化、數(shù)據(jù)互通化，提升油田業(yè)務(wù)服務(wù)能力，為信息化發(fā)展助力、保駕護航。

3.4 安全接入網(wǎng)關(guān)系統(tǒng)建設(shè)

部署安全接入網(wǎng)關(guān)系統(tǒng)，對終端接入設(shè)備進行身份認證和細粒度的訪問控制，提高基于國密算法保障的安全接入服務(wù)能力，實現(xiàn)終端設(shè)備接入、準入與業(yè)務(wù)數(shù)據(jù)的加密安全傳輸。

3.5 終端系統(tǒng)安全建設(shè)

利用安全接入模塊、USB Key、安全芯片以及安全軟終端等，根據(jù)設(shè)備終端的應(yīng)用模式提供不同的認證方式。安全接入模塊在鏈路層為終端設(shè)備提供基于傳輸控制協(xié)議/網(wǎng)際協(xié)議（Transmission Control Protocol/Internet Protocol，TCP/IP）的環(huán)境透明身份認證和數(shù)據(jù)加解密服務(wù)。對于無法采用非標準協(xié)議、不支持IP 通訊的環(huán)境中的終端設(shè)備，采用安全芯片或安全軟終端的方式提供服務(wù)，對終端設(shè)備進行開發(fā)改造。

4 結(jié) 語

在網(wǎng)絡(luò)安全防護體系建設(shè)中，密碼技術(shù)具有舉足輕重的地位。密碼算法和標準完全自主可控，對于企業(yè)的可持續(xù)發(fā)展有巨大的意義和價值。國家密碼管理部門經(jīng)過多年的不懈努力，制定了一系列國家商用密碼標準，時至今日已經(jīng)形成相對完善的、自主可控的商用密碼行業(yè)技術(shù)標準體系，該體系已經(jīng)可以較好地應(yīng)用在各個行業(yè)。通過國產(chǎn)密碼技術(shù)在油田中的具體應(yīng)用，實現(xiàn)信息系統(tǒng)自主可控，對今后密碼技術(shù)在行業(yè)內(nèi)的推廣起到了示范作用。