鐵路行業(yè)密碼云服務(wù)管理平臺設(shè)計(jì)

尹虹

摘要：隨著我國的快速發(fā)展，國產(chǎn)密碼技術(shù)的應(yīng)用對于信息的保護(hù)越來越重要，我國關(guān)鍵信息基礎(chǔ)設(shè)施的建設(shè)已進(jìn)入到了各行各業(yè)，其中，鐵路行業(yè)信息系統(tǒng)是我國尤為重要的關(guān)鍵信息基礎(chǔ)設(shè)施。傳統(tǒng)的信息系統(tǒng)由于是分別建設(shè)的密碼服務(wù)功能，有著較多的問題，如易發(fā)生安全隱患、建設(shè)重復(fù)和專業(yè)性較差，以及后期維護(hù)成本較高等。服務(wù)平臺為進(jìn)一步提升應(yīng)用系統(tǒng)的開發(fā)效率，將提供模塊化的密碼服務(wù)給該企業(yè)全部的信息系統(tǒng)，具體是從鐵路的信息安全架構(gòu)實(shí)踐的基礎(chǔ)上，在每一個應(yīng)用系統(tǒng)中進(jìn)行密碼應(yīng)用解耦合，實(shí)現(xiàn)參數(shù)化、組件化、智能化與標(biāo)準(zhǔn)化，從而大大地保證了商業(yè)鐵路網(wǎng)絡(luò)和信息系統(tǒng)的安全。

關(guān)鍵詞：云密碼服務(wù);虛擬化;密鑰管理

中圖分類號：TP311? ? 文獻(xiàn)標(biāo)識碼：A

文章編號：1009-3044（2022）03-0066-02

開放科學(xué)（資源服務(wù)）標(biāo)識碼（OSID）：

在當(dāng)今數(shù)字化的大勢下，鐵路行業(yè)業(yè)務(wù)也開始信息化。但鐵路的信息系統(tǒng)已遭受不法分子攻擊，構(gòu)成我國極其關(guān)鍵、重要的網(wǎng)絡(luò)安全威脅。密碼技術(shù)作為保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)的基石[1]，需合理規(guī)劃才能切實(shí)地保護(hù)鐵路行業(yè)信息安全，鐵路行業(yè)信息系統(tǒng)數(shù)量眾多，系統(tǒng)建設(shè)通常按照自行的需求建設(shè)開發(fā)，各自進(jìn)行密碼實(shí)現(xiàn)，但分散式的密碼技術(shù)開發(fā)也逐步暴露了諸多問題。

1）它的實(shí)現(xiàn)主要取決于關(guān)鍵技術(shù)人員自身的經(jīng)驗(yàn)、技術(shù)能力以及安全認(rèn)識。通常存在密鑰管理不善、計(jì)算參數(shù)不合理等問題，易引發(fā)安全隱患。加密需求發(fā)生變化后，難于靈活地處理等問題;

2）獨(dú)立系統(tǒng)的密碼運(yùn)算無法應(yīng)對業(yè)務(wù)峰值;

3）在添加新的加密算法的情況下，由于當(dāng)前密碼服務(wù)基礎(chǔ)設(shè)施建設(shè)有重復(fù)，專業(yè)化程度較低，從而導(dǎo)致工作量增多;

4）在密碼策略需要更新的情況下，由于沒有統(tǒng)一、集中的管理，更新時較為復(fù)雜困難，也易發(fā)生遺漏，進(jìn)而造成安全隱患。

密碼技術(shù)是最基本的安全服務(wù)之一，通過提供簡單且易用的密碼服務(wù)接口，在每個應(yīng)用中進(jìn)行密碼應(yīng)用解耦合，實(shí)現(xiàn)標(biāo)準(zhǔn)化、組件化、智能化與參數(shù)化[2-4]，進(jìn)而為企業(yè)的整體信息系統(tǒng)提供基于組件式的密碼服務(wù)，經(jīng)過集中策略管理和控制，實(shí)現(xiàn)密碼算法透明化，密碼策略的集中管理和控制、密碼計(jì)算能力的統(tǒng)一調(diào)度[5-7]。

1 云環(huán)境中密碼服務(wù)現(xiàn)狀

美國國家標(biāo)準(zhǔn)與技術(shù)研究院關(guān)于《云計(jì)算標(biāo)準(zhǔn)報(bào)告》（2011年發(fā)布）[8]提供云應(yīng)用安全、云數(shù)據(jù)安全與云虛擬化安全共同組成云安全，分別從可信終端、數(shù)據(jù)存儲的可靠性與安全性、硬件設(shè)備的虛擬化三個角度共同描述了云安全[9]。相關(guān)從業(yè)人員分別從云數(shù)據(jù)、云應(yīng)用、云虛擬化提供各類云安全的策略。目前，云安全的解決方案主要基于云密碼服務(wù)實(shí)現(xiàn)。相比傳統(tǒng)密碼設(shè)備，云密碼服務(wù)技術(shù)提升了密碼資源試用的高效性與可擴(kuò)展性。但同時，將虛擬化技術(shù)與傳統(tǒng)的密碼設(shè)備結(jié)合，將產(chǎn)生新的密鑰安全的挑戰(zhàn)。

2 虛擬化技術(shù)理論基礎(chǔ)

虛擬化技術(shù)[10]是云計(jì)算關(guān)鍵技術(shù)，將過剩的物理計(jì)算資源，試用虛擬化的技術(shù)，以虛擬資源的方式提供給用戶。該技術(shù)通過將虛擬化資源構(gòu)建出底層硬件資源[11]，能為上層計(jì)算提供虛擬硬件資源。

3 密碼資源池管理的設(shè)計(jì)

將底層密碼設(shè)備虛擬化是密碼資源池的重要功能，資源池內(nèi)的密碼資源開展物理集群管理，虛擬網(wǎng)絡(luò)管理中的運(yùn)維管理，以及虛擬密碼機(jī)的創(chuàng)建與銷毀。

3.1 物理密碼機(jī)虛擬化設(shè)計(jì)

云管理平臺能使用接口訪問的形式管理密碼資源池。虛擬密碼機(jī)運(yùn)算流程圖具體見圖1所示。

3.2 虛擬密碼機(jī)管理的設(shè)計(jì)與實(shí)現(xiàn)

虛擬密碼機(jī)的生命周期狀態(tài)與各狀態(tài)之間的轉(zhuǎn)換具體見圖2所示。其創(chuàng)建、運(yùn)行、掛起及銷毀等狀態(tài)由物理密碼機(jī)虛擬化管理實(shí)現(xiàn)。

4 密鑰管理系統(tǒng)的設(shè)計(jì)

除了向來訪用戶進(jìn)行身份驗(yàn)證外，密鑰管理系統(tǒng)將云密碼服務(wù)平臺中密鑰生命周期的各個環(huán)節(jié)開展統(tǒng)一集中安全管理，包括密鑰的產(chǎn)生、分發(fā)、處理、存儲和銷毀等，制度化和流程化的密鑰安全管理使得云密碼服務(wù)平臺的安全性得到極大的提升。

4.1 密鑰分級保護(hù)策略的設(shè)計(jì)

密鑰的安全關(guān)系到整個云密碼服務(wù)平臺的安全，平臺內(nèi)密鑰按性質(zhì)可分為可傳輸密鑰與不可傳輸密鑰兩類，按功能可分為用戶主密鑰、數(shù)據(jù)加密密鑰、虛擬密碼機(jī)公私鑰對、密鑰管理系統(tǒng)公私鑰對。其中可傳輸密鑰有用戶智能密鑰鑰匙中加密后的用戶主密鑰、密鑰管理系統(tǒng)中的公鑰與加密后數(shù)據(jù)加密密鑰、密碼機(jī)中的公鑰;不可傳輸密鑰有用戶智能密鑰鑰匙中用戶主密鑰、密鑰管理系統(tǒng)中的私鑰與數(shù)據(jù)加密密鑰、密碼機(jī)中的私鑰。

1）用戶主密鑰存儲在云密碼服務(wù)平臺用戶的智能密鑰鑰匙內(nèi)，密鑰管理系統(tǒng)公鑰加密保護(hù)用戶主密鑰，進(jìn)行合法性身份認(rèn)證，對加密后的用戶主密鑰進(jìn)行下載、存儲;

2）用戶主密鑰通過密鑰管理系統(tǒng)私鑰進(jìn)行解密來獲得。用戶主密鑰解密加密后的數(shù)據(jù)加密密鑰，獲取數(shù)據(jù)加密密鑰;

3）虛擬密碼機(jī)公鑰來加密數(shù)據(jù)加密密鑰，傳輸至虛擬密碼機(jī)中;

4）虛擬密碼機(jī)獲得加密過數(shù)據(jù)加密密鑰，使用私鑰進(jìn)行解密，得到明文數(shù)據(jù)加密密鑰以后，提供數(shù)據(jù)加解密的服務(wù)。

4.2 密碼服務(wù)流程

云密碼服務(wù)平臺的密碼服務(wù)流程：

1）首先用戶登錄，平臺識別將用戶身份合法與否;

2）通過合法性身份認(rèn)證后，云密碼服務(wù)平臺將用戶請求發(fā)送至平臺的調(diào)度管理模塊中，并同步提醒用戶下載用戶主密鑰;

3）云密碼服務(wù)平臺按照資源調(diào)度模塊的結(jié)果，從密碼資源池內(nèi)選擇所需的物理計(jì)算資源集群，再在物理計(jì)算資源集群內(nèi)選擇合適的密碼機(jī)類型;

4）新計(jì)算任務(wù)啟動時，用戶對認(rèn)證模塊申請合法性認(rèn)證，返回結(jié)果，確認(rèn)下載用戶主密鑰;

5）在智能密鑰鑰匙內(nèi)完成加密用戶主密鑰下載，存儲于密鑰管理系統(tǒng)中，并使用數(shù)據(jù)加密密鑰進(jìn)行解密;

6）密鑰管理系統(tǒng)接收申請，下載數(shù)據(jù)加密密鑰;

7）資源監(jiān)控模塊收集密碼機(jī)的狀態(tài)信息，通過信息統(tǒng)計(jì)分析提供了安全保障。

4.3 密碼服務(wù)應(yīng)用的設(shè)計(jì)

云密碼服務(wù)平臺系統(tǒng)內(nèi)各用戶均使用自己的智能密鑰鑰匙儲存其用戶主密鑰，是采用非對稱加密體制，用戶能夠用不同的虛擬密碼機(jī)實(shí)現(xiàn)數(shù)據(jù)的密碼服務(wù)任務(wù)，如加解密等。

云環(huán)境下用戶主密鑰信息一致時，能夠用各類虛擬密碼機(jī)將文件執(zhí)行加密解密的操作。

1）用戶A發(fā)送用戶ID與明文，至虛擬密碼機(jī)1;密鑰管理系統(tǒng)發(fā)送用戶A公鑰至虛擬密碼機(jī)1，加密明文，將密文返回用戶A;

2）用戶A發(fā)送用戶ID與密文，至虛擬密碼機(jī)2;密鑰管理系統(tǒng)發(fā)送用戶A私鑰至虛擬密碼機(jī)2，解密密文，將密文返回用戶A。

5 云管理平臺的設(shè)計(jì)與實(shí)現(xiàn)

云管理平臺為平臺管理員和用戶提供Web服務(wù)。為Web服務(wù)經(jīng)典三層結(jié)構(gòu)，主要能夠保障完全解耦前臺、后臺業(yè)務(wù)，對系統(tǒng)開發(fā)以及后期拓展起到了便捷的作用。采用三層架構(gòu)來滿足云管理平臺功能實(shí)現(xiàn)的需求。

1）前端展示層主要提供：用戶身份驗(yàn)證的登錄界面、計(jì)算資源負(fù)載監(jiān)控界面、資源管理界面、密碼服務(wù)應(yīng)用界面;

2）中臺控制層主要實(shí)現(xiàn)：計(jì)算請求并處理完成該請求，包括操作請求與身份認(rèn)證請求、密碼計(jì)算資源負(fù)載監(jiān)控?cái)?shù)據(jù)申請請求，核查計(jì)算請求;

3）服務(wù)底層主要提供：密碼資源池的標(biāo)準(zhǔn)格式程序接口，從而實(shí)現(xiàn)云管理平臺所有的管理功能。

6 總結(jié)

企業(yè)級的密碼服務(wù)平臺給鐵路行業(yè)的信息系統(tǒng)實(shí)現(xiàn)了豐富可用的、全面統(tǒng)一的以及完整的密碼安全機(jī)制，用組件化的方式實(shí)現(xiàn)集中整合當(dāng)前分散部署的密碼模塊，提供了一致的、靈活的安全服務(wù)，從而實(shí)現(xiàn)信息安全從分散的管理模式轉(zhuǎn)型至集中的管理模式，進(jìn)一步降低開發(fā)信息系統(tǒng)項(xiàng)目內(nèi)密碼應(yīng)用工作復(fù)雜度，增強(qiáng)鐵路行業(yè)網(wǎng)絡(luò)和信息安全的整體服務(wù)水平，提升安全管控的能力。

參考文獻(xiàn)：

[1] 沈昌祥，公備.基于國產(chǎn)密碼體系的可信計(jì)算體系框架[J].密碼學(xué)報(bào)，2015，2（5）：381-389.

[2] 金磐石.構(gòu)建“安全即服務(wù)”的安全架構(gòu)[J].中國金融電腦，2014（12）：23-25.

[3] Furfaro A，Garro A，Tundis A.Towards security as a service （SecaaS）：on the modeling of security services for cloud computing[C]//2014 International Carnahan Conference on Security Technology （ICCST）.October 13-16，2014，Rome，Italy.IEEE，2014：1-6.

[4] Hussain M，Abdulsalam H.SECaaS：security as a service for cloud-based applications[C]//Proceedings of the Second Kuwait Conference on e-Services and e-Systems - KCESS '11.April 5-7，2011.Kuwait City，Kuwait.New York：ACM Press，2011：1-4.

[5] Guide for assessing the security controls in federal information systems and organizations[R].National Institute of Standards and Technology，2010.

[6] Guide for assessing the security controls in federal information systems and organizations[R].National Institute of Standards and Technology，2010.

[7] CSF Assessors.Common Security Framework[R].USA Health Information Trust Alliance （HITRUST）， 2009.

[8] National Institute of Standards and Technology.The NIst Definition of Cloud C ting. Technical Report， No. 800-145， 2011[EB/OL].[2021-05-30].http：//csrc.nistgov/publications/nistpubs/800-145/sp800-145.pdf.

[9] 張玉清，王曉菲，劉雪峰，等.云計(jì)算環(huán)境安全綜述[J].軟件學(xué)報(bào)，2016，27（6）：1328-1348.

[10] wikipedia.Virtualization[EB/OL].[2021-05-30].http：/en.wikipedia.org/wiki/virtualization， Sep20， 2018.

[11] 彭曉平，張雪堅(jiān)，黃波.基于KVM的虛擬化技術(shù)研究[J].中國新通信，2017，19（20）：77-80.

【通聯(lián)編輯：梁書】