基于國產(chǎn)密碼技術的應用安全防護設計

張習發(fā)，曾 嶸

（紅云紅河煙草（集團）有限責任公司, 云南 昆明 650231）

0 前言

經(jīng)過多年的信息化應用建設，紅云紅河煙草集團已有一定數(shù)量的基于業(yè)務運行的應用系統(tǒng)參與在集團的生產(chǎn)過程中。與此同時，由于集團內(nèi)信息系統(tǒng)越來越多，并且建設單位為不同卷煙廠、系統(tǒng)建設時期不同、開發(fā)商來源不一等諸多原因，信息系統(tǒng)的安全防護與運維參差不齊，存在部分系統(tǒng)目前未使用相關密碼技術對應用系統(tǒng)的身份鑒別、數(shù)據(jù)安全進行防護，或使用存在安全問題或安全強度不足的密碼算法對重要業(yè)務數(shù)據(jù)進行保護，如MD5、DES、SHA-1、RSA（不足2048比特）等密碼算法。重要業(yè)務數(shù)據(jù)往往在傳輸與存儲過程中，均存在被竊取的風險。應用系統(tǒng)登錄認證流程中，輸入賬號和靜態(tài)密碼后即可滿足簡單的登錄條件，提升生產(chǎn)過程中關于重要業(yè)務數(shù)據(jù)的安全引爆點。

因此，從根本上解決應用系統(tǒng)在生產(chǎn)過程中的安全運維風險、安全身份認證風險以及對應用系統(tǒng)的數(shù)據(jù)安全風險，還存在以下問題尚待解決：

一是應用系統(tǒng)的登錄認證采用靜態(tài)口令的方式，安全壁壘較低，容易出現(xiàn)身份被竊取盜用的情況，會讓應用系統(tǒng)直接丟失信息保護屏障，造成集團數(shù)字資產(chǎn)造成無可估量的損失。

二是集團內(nèi)目前存在數(shù)十個應用系統(tǒng)，應用系統(tǒng)內(nèi)的重要用戶數(shù)據(jù)、業(yè)務數(shù)據(jù)、權限數(shù)據(jù)、日志數(shù)據(jù)等未使用密碼技術對以上信息進行安全防護。

三是應用系統(tǒng)內(nèi)的重要業(yè)務數(shù)據(jù)通過明文形式存儲與傳輸、或通過非安全的密碼技術進行加密存儲與傳輸。

1 相關技術簡介

1.1 數(shù)字證書

一個標準的數(shù)字證書認證體系一般包括證書認證機構（Certificate Authority-CA），一個被信任的簽署公鑰證書及發(fā)布CRL的管理機構。證書注冊機構（Registration Authority-RA），一個接收證書申請單據(jù)、查驗申請者身份，頒發(fā)證書的管理機構。密鑰管理中心（Key Management Center-KMC）主要負責密鑰的生成、分發(fā)、保存、備份、恢復、更新、歸檔等管理。

1.2 數(shù)字簽名

數(shù)字簽名是指數(shù)據(jù)文件中以電子格式形式所存在、所附用于提供簽名者身份的信息并標識簽名者確認文件中的數(shù)據(jù)。它的目的為以數(shù)字技術替代傳統(tǒng)的紙面簽名以及印章的功能，用來確認本次業(yè)務過程中經(jīng)辦人的真實身份，保證數(shù)據(jù)的安全性、真實性和不可抵賴性。

1.3 國產(chǎn)商用密碼算法

1.3.1 SM2

SM2算法是國家密碼管理局編制的一種商用密碼非對稱算法，基于ECC算法。安全性與Nist Prime256相當。相比較RSA公鑰算法，現(xiàn)有的SM2 256位密鑰相當于RSA 3072位密鑰強度。2010年，國密局公開了SM2算法。

1.3.2 SM3

SM3算法是國家密碼管理局編制的一種商用密碼摘要算法，安全性與效率與SHA-256相當。2010年，國密局公開了SM3算法。

1.3.3 SM4

SM4算法是國家密碼管理局推薦用于無線局域網(wǎng)的分組密碼算法，其分組長度和密鑰長度都是128比特。加密算法和密鑰擴展算法都采用了32輪迭代結構。

2 密碼安全體系設計

密碼應用安全防護體系包括以下部分：CA數(shù)字證書系統(tǒng)、移動統(tǒng)一身份認證系統(tǒng)、SSL應用安全網(wǎng)關、數(shù)字簽名服務器、加密機、智能密碼鑰匙（USB Key）。采用成熟的密碼認證技術，確保業(yè)務系統(tǒng)的安全性和可靠性。建立基于密碼算法的身份認證，采用基于移動證書的二維碼登錄、傳統(tǒng)硬件載體數(shù)字證書認證等方式進行身份鑒別。采用SSL 應用安全網(wǎng)關，對數(shù)據(jù)進行傳輸安全防護。采用數(shù)字簽名服務器、加密機對數(shù)據(jù)在存儲過程中的機密性與完整性保護。

2.1 設計目標

本次系統(tǒng)建設的目標為：基于國密算法的密碼產(chǎn)品與技術標準，充分利用數(shù)字證書體系與應用安全網(wǎng)關、簽名服務器等密碼設備對集團內(nèi)的應用系統(tǒng)進行輕量化改造。以這些系統(tǒng)的業(yè)務與數(shù)據(jù)為組合，最終實現(xiàn)從身份鑒別、SSL訪問協(xié)議、系統(tǒng)內(nèi)部授權信息、訪問日志信息等方面，結合差異化的業(yè)務信息，實現(xiàn)密碼資源拉平，定性定量為業(yè)務系統(tǒng)提供快速響應的密碼服務。通過系統(tǒng)與密碼服務對接，進一步拉通密碼技術與業(yè)務數(shù)據(jù)的有機結合，為應用系統(tǒng)以密碼技術安全防護的落地奠定堅實基礎。

2.2 密碼技術平臺設計

建設基于CA系統(tǒng)、移動統(tǒng)一身份認證系統(tǒng)、SSL應用安全網(wǎng)關、數(shù)字簽名服務器、加密機等基礎密碼支持產(chǎn)品實現(xiàn)身份鑒別服務、數(shù)據(jù)加密服務、權限授權管控服務、用戶操作認證鑒別服務等，并通過扁平化的密碼組件集成、逐步精細化密碼服務功能，完善技術平臺的頂層設計和底層邏輯。

3 系統(tǒng)應用中的安全設計

3.1 身份鑒別

3.1.1 智能密碼鑰匙簽名

在應用系統(tǒng)登錄認證時，依托內(nèi)置有登錄者證書的智能密碼鑰匙進行登錄報文簽名。登錄者證書與系統(tǒng)存量人員信息一對一綁定配對。在進行登錄系統(tǒng)時，需要鍵入用戶指定的智能密碼鑰匙設置的密碼。傳統(tǒng)的非安全簡單靜態(tài)口令的方式變更為硬件級別的電子數(shù)字簽名的身份認證方式，能迅速拉升用戶身份鑒別的安全性閾值與可靠性支撐點。

3.1.2 移動簽名登錄認證

以移動統(tǒng)一身份認證平臺結合CA系統(tǒng)，實現(xiàn)移動客戶端內(nèi)的數(shù)字證書下載與存儲。移動客戶端采用（2,2）門限算法，對用戶密鑰進行有效分割，以雙方協(xié)同安全簽名技術，對數(shù)據(jù)進行區(qū)別于傳統(tǒng)密鑰的重構設計作數(shù)字簽名。移動終端設備智能識別應用系統(tǒng)登錄信息，對登錄信息（時間戳、標識符等）內(nèi)容解析，并使用移動終端內(nèi)密鑰分量聯(lián)合服務端獲取最終協(xié)同電子簽名值，提交服務端實現(xiàn)登錄信息鑒別，在經(jīng)過服務器端授權后，成功登錄到信息系統(tǒng)進行業(yè)務處理。

3.2 數(shù)據(jù)傳輸安全

通過應用安全網(wǎng)關配置SM2/RSA雙證書，建立國密、國際算法SSL站點證書并存的SSL安全傳輸隧道，實現(xiàn)信息的傳遞，保證了數(shù)據(jù)在傳輸過程中的保密和不可篡改。應用安全網(wǎng)關系統(tǒng)自動識別瀏覽器版本與所支持密碼算法協(xié)議，當用戶使用支持國密算法的瀏覽器訪問時，采用國密算法SM2加密；使用其他不支持國密的瀏覽器訪問時，則自動采用RSA算法加密，自適應兼容所有瀏覽器，就能有效解決瀏覽器兼容性問題。

3.3 數(shù)據(jù)存儲安全

較多應用系統(tǒng)內(nèi)存儲著較為重要的數(shù)據(jù)信息，如用戶個人信息、煙草行業(yè)重要數(shù)據(jù)等，需使用對稱或非對稱國產(chǎn)商用密碼算法進行加密。通過調(diào)用數(shù)字簽名服務器對相關重要數(shù)據(jù)進行數(shù)字簽名，提供數(shù)據(jù)的完整性保護，防止數(shù)據(jù)被篡改；通過調(diào)用數(shù)據(jù)庫加密機或服務器加密機等對重要數(shù)據(jù)進行基于國密SM4對稱算法的數(shù)據(jù)加密，保證數(shù)據(jù)在存儲過程中的機密性保護。

3.4 業(yè)務審計安全

基于數(shù)字簽名服務器或加密機為應用系統(tǒng)內(nèi)部日志功能輸出密碼服務。對應用系統(tǒng)內(nèi)日志記錄，如登錄系統(tǒng)時間、登錄用戶身份、重要操作信息、接入終端IP地址等進行。使用消息校驗碼(MAC)或數(shù)字簽名實現(xiàn)完整性，保障信息系統(tǒng)日志數(shù)據(jù)在存儲過程中的完整性，實現(xiàn)日志的不可篡改。

4 結語

應用系統(tǒng)中正確、合理、合規(guī)使用商用密碼算法，是對集團信息系統(tǒng)數(shù)字資產(chǎn)的重要防護措施，以搭建密碼技術基礎服務平臺，通過密碼服務功能點對點支撐應用、密碼產(chǎn)品同步建設、同步運行、同步運維的模式，為集團內(nèi)應用系統(tǒng)、數(shù)字資產(chǎn)提供全方位的密碼安全服務支持，為集團應用系統(tǒng)在生產(chǎn)過程中提供有效的密碼支撐平面，具有重要意義。

一是安全體系構建。密碼技術在身份鑒別、機密性保護、完整性保護、抗抵賴等方面有著極為廣泛的應用。作為新時代應用與數(shù)據(jù)防護安全的需求，構建以國產(chǎn)密碼為基礎的網(wǎng)絡空間安全體系已經(jīng)刻不容緩。

二是密評密改要求。2021年10月國家密碼管理局發(fā)布的《信息系統(tǒng)密碼應用測評要求》等5項密碼應用與安全性評估指導性文件正式實施，對于信息系統(tǒng)通過密碼應用保障信息系統(tǒng)及相關信息安全作出了較為詳細的規(guī)定。