基于中間件的密碼泛在化保障技術(shù)研究*

劉 棟，顏 亮，文 剛，張維娜

（中國(guó)電子科技集團(tuán)公司第三十研究所，四川 成都 610041）

0 引言

隨著《中華人民共和國(guó)密碼法》《中華人民共和國(guó)數(shù)據(jù)安全法》等法律法規(guī)的正式實(shí)施，密碼作為解決網(wǎng)絡(luò)與信息安全問(wèn)題最有效、最可靠、最經(jīng)濟(jì)的手段[1],在經(jīng)濟(jì)生活和網(wǎng)絡(luò)安全領(lǐng)域的作用越來(lái)越大，密碼技術(shù)的應(yīng)用場(chǎng)景也越來(lái)越廣泛。在網(wǎng)絡(luò)安全層面，基于安全套接字層虛擬專(zhuān)用網(wǎng)（Secure Socket Layer Virtual Private Network，SSL VPN）、安全網(wǎng)絡(luò)協(xié)議層虛擬專(zhuān)用網(wǎng)（Internet Protocol Security Virtual Private Network，IPSec VPN）等密碼技術(shù)的網(wǎng)絡(luò)安全措施已比較成熟，也得到了廣泛的應(yīng)用。但隨著云計(jì)算、大數(shù)據(jù)等新型信息技術(shù)的發(fā)展，網(wǎng)絡(luò)安全的邊界越來(lái)越模糊，應(yīng)用安全和數(shù)據(jù)安全逐漸成為安全保障的核心。在應(yīng)用安全和數(shù)據(jù)安全實(shí)現(xiàn)層面，目前采用的主要方式還是應(yīng)用系統(tǒng)調(diào)用密碼服務(wù)的方式來(lái)集成密碼技術(shù)。

由于密碼技術(shù)具有專(zhuān)業(yè)性強(qiáng)、技術(shù)門(mén)檻高、應(yīng)用和管理復(fù)雜度大等特點(diǎn)，出現(xiàn)了很多誤用密碼、用錯(cuò)密碼的情況，密碼對(duì)信息系統(tǒng)和重要數(shù)據(jù)的安全保障遠(yuǎn)未能達(dá)到實(shí)際設(shè)想的效果。此外，由于密碼系統(tǒng)通常晚于應(yīng)用系統(tǒng)進(jìn)行建設(shè)實(shí)施，部署密碼技術(shù)時(shí)，通常要求對(duì)現(xiàn)有應(yīng)用系統(tǒng)進(jìn)行額外的改造，這也對(duì)密碼技術(shù)的普及和泛在化帶來(lái)了不利的影響。因此，需要一種對(duì)應(yīng)用系統(tǒng)“透明化”、對(duì)信息化人員“無(wú)感知”的密碼保障技術(shù)，降低密碼使用的復(fù)雜度、屏蔽密碼管理的專(zhuān)業(yè)度，實(shí)現(xiàn)密碼保障技術(shù)無(wú)處不在且不被感知的泛在化應(yīng)用，為國(guó)民經(jīng)濟(jì)的健康發(fā)展和國(guó)家網(wǎng)絡(luò)空間安全保駕護(hù)航。

1 密碼應(yīng)用的價(jià)值

1.1 密碼保障的場(chǎng)景

在信息系統(tǒng)的應(yīng)用安全和數(shù)據(jù)安全方面，密碼的保障能力主要體現(xiàn)在機(jī)密性、完整性、真實(shí)性和不可否認(rèn)性4 個(gè)方面[2]。其中，依賴(lài)的密碼關(guān)鍵技術(shù)主要包括對(duì)稱(chēng)加密、數(shù)字信封、數(shù)據(jù)摘要、數(shù)字簽名等。機(jī)密性保障主要面向信息系統(tǒng)的數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)等應(yīng)用場(chǎng)景，主要基于對(duì)稱(chēng)加密、數(shù)據(jù)信封等密碼技術(shù)實(shí)現(xiàn)。例如，在電子郵件發(fā)送場(chǎng)景中，利用數(shù)字信封技術(shù)對(duì)郵件附件進(jìn)行機(jī)密性保護(hù)；在即時(shí)通信、視頻通話等場(chǎng)景中，利用通信雙方共享密鑰對(duì)聊天信息進(jìn)行加密保護(hù)，防止第三方竊聽(tīng)。完整性保障主要面向信息系統(tǒng)的關(guān)鍵信息標(biāo)識(shí)的防篡改場(chǎng)景，主要基于雜湊算法提取數(shù)據(jù)摘要、消息鑒別碼（Message authentication code，MAC）摘要等方式實(shí)現(xiàn)。例如，網(wǎng)絡(luò)上下載的軟件通常會(huì)標(biāo)識(shí)該軟件的信息摘要算法5（Message-Digest Algorithm 5，MD5）值，防止被病毒或木馬破壞。真實(shí)性保障主要面向信息系統(tǒng)認(rèn)證鑒權(quán)、消息來(lái)源的可靠性驗(yàn)證等場(chǎng)景，通常采用數(shù)字簽名、雙方共享密鑰的對(duì)稱(chēng)加密、MAC運(yùn)算等密碼技術(shù)實(shí)現(xiàn)。例如，在目前應(yīng)用比較廣泛的電子合同場(chǎng)景中，基于合同簽訂雙方的數(shù)字簽名可保證在線簽訂合同的真實(shí)可靠，并和紙質(zhì)合同具備等同的法律效應(yīng)。不可否認(rèn)保障主要面向合同簽訂、責(zé)任界定等應(yīng)用場(chǎng)景，主要采用數(shù)字簽名技術(shù)實(shí)現(xiàn)。例如，在電子蓋章等應(yīng)用場(chǎng)景中，通常在線簽章中內(nèi)含了對(duì)當(dāng)前頁(yè)面內(nèi)容的數(shù)字簽名，簽章完成也表示對(duì)當(dāng)前合同條款的認(rèn)可、確認(rèn)和不可抵賴(lài)。

綜上所述，密碼技術(shù)對(duì)信息系統(tǒng)實(shí)現(xiàn)的保障能力以及常見(jiàn)應(yīng)用場(chǎng)景如表1 所示。

表1 保障場(chǎng)景與密碼技術(shù)

1.2 密碼保障系統(tǒng)的組成

一個(gè)常見(jiàn)的密碼保障系統(tǒng)至少要包括密碼服務(wù)和密鑰管理兩個(gè)部分。

密碼服務(wù)主要面向信息系統(tǒng)提供對(duì)稱(chēng)、非對(duì)稱(chēng)、雜湊等密碼運(yùn)算能力，通常以軟件開(kāi)發(fā)工具包（Software Development Kit，SDK）形式供信息系統(tǒng)調(diào)用。密碼服務(wù)的物理形態(tài)可以為硬件設(shè)備或軟件系統(tǒng)。

密鑰管理負(fù)責(zé)密碼服務(wù)所用密鑰的產(chǎn)生、分發(fā)、更新、歸檔、銷(xiāo)毀等密鑰生命周期的管理，確保密碼服務(wù)保障過(guò)程中密鑰的安全性、有效性、可靠性。密碼管理的物理形態(tài)通常也可以為硬件設(shè)備或軟件系統(tǒng)。

信息系統(tǒng)在集成密碼過(guò)程中出現(xiàn)的密碼應(yīng)用問(wèn)題也主要體現(xiàn)在密碼服務(wù)和密鑰管理兩個(gè)方面。在密碼服務(wù)方面主要為密碼使用過(guò)程中的技術(shù)復(fù)雜度、改造適配工作等方面的問(wèn)題。在密碼管理方面主要體現(xiàn)為密鑰分配、密鑰管理等密碼管理方面的問(wèn)題。

2 密碼應(yīng)用的問(wèn)題

2.1 密碼應(yīng)用的技術(shù)問(wèn)題

在應(yīng)用密碼服務(wù)層面，密碼服務(wù)能力通常以SDK 接口形式提供給信息系統(tǒng)調(diào)用，SDK 開(kāi)發(fā)商通常為密碼技術(shù)和密碼產(chǎn)品廠商，其提供的接口通常從密碼技術(shù)的維度進(jìn)行分類(lèi)和定義，與應(yīng)用廠商實(shí)際的信息保護(hù)需求不匹配，往往還需要應(yīng)用系統(tǒng)開(kāi)發(fā)商將多個(gè)服務(wù)接口組合調(diào)用后才能滿足其保護(hù)要求。例如，國(guó)密標(biāo)準(zhǔn)中的GM/T 0018—2012《密碼設(shè)備應(yīng)用接口規(guī)范》、GM/T 0016—2012《智能密碼鑰匙密碼應(yīng)用接口規(guī)范》，通常從密碼技術(shù)的維度將接口分為設(shè)備管理、密鑰管理、對(duì)稱(chēng)算法、非對(duì)稱(chēng)算法等[3]，但應(yīng)用廠商實(shí)際需要的通常為存儲(chǔ)加密、傳輸加密等服務(wù)接口。此外，應(yīng)用廠商為實(shí)現(xiàn)數(shù)據(jù)存儲(chǔ)加密的功能，需要了解具體的密碼知識(shí)和理解各個(gè)接口的定義，再將多個(gè)接口組合后才能實(shí)現(xiàn)所需要的密碼保護(hù)功能。在密碼服務(wù)SDK 接口層面，目前主流的密碼服務(wù)接口仍然以C 接口的形式提供，但目前應(yīng)用系統(tǒng)主流為Java 語(yǔ)言開(kāi)發(fā)的瀏覽器/服務(wù)器（Browser/Server B/S）架構(gòu)，對(duì)密碼服務(wù)SDK 的實(shí)際需求是服務(wù)器端Java 接口、客戶(hù)端Java Script（JS）接口。密碼服務(wù)需求與實(shí)際供給的不匹配，給應(yīng)用廠商帶來(lái)大量額外的二次封裝工作。

在密碼技術(shù)實(shí)現(xiàn)過(guò)程中，由于應(yīng)用系統(tǒng)廠商專(zhuān)業(yè)密碼知識(shí)的不足，也出現(xiàn)了一些用錯(cuò)密碼、濫用密碼的典型情況。例如，采用序列算法保護(hù)存儲(chǔ)數(shù)據(jù)；大數(shù)據(jù)量的文件數(shù)據(jù)采用電碼本（Electronic Code Book，ECB）模式保護(hù)；網(wǎng)絡(luò)包加密未采用認(rèn)證加密（Authenticated Encryption with Associated Data，AEAD）模式且未自行處理網(wǎng)絡(luò)包校驗(yàn)，導(dǎo)致無(wú)法驗(yàn)證解密后數(shù)據(jù)的完整性；采用非對(duì)稱(chēng)算法加密存儲(chǔ)數(shù)據(jù)等。以上情況雖然使用了密碼技術(shù)，但由于加密強(qiáng)度不足也帶來(lái)了一定的數(shù)據(jù)安全風(fēng)險(xiǎn)。還有部分應(yīng)用因?yàn)椴捎昧瞬缓线m的算法模式導(dǎo)致加解密性能低下，嚴(yán)重影響應(yīng)用系統(tǒng)性能。

信息系統(tǒng)建設(shè)通常早于密碼保障系統(tǒng)建設(shè)，在實(shí)際生產(chǎn)環(huán)境中通常也存在大量存量應(yīng)用需要采用密碼技術(shù)進(jìn)行安全性改造。在新建應(yīng)用系統(tǒng)方面，行業(yè)主流的應(yīng)用系統(tǒng)基本上也沒(méi)有預(yù)留密碼保障擴(kuò)展機(jī)制，需要應(yīng)用廠商針對(duì)密碼技術(shù)進(jìn)行適配改造。這些適配和改造的復(fù)雜性和工作量也是影響密碼技術(shù)推進(jìn)的重要阻礙之一。

2.2 密碼應(yīng)用的管理問(wèn)題

在現(xiàn)代密碼體制中，加密算法是可以公開(kāi)的，但一旦密鑰丟失，密碼算法保護(hù)的信息則面臨較大的被竊取的風(fēng)險(xiǎn)，密鑰管理對(duì)于信息系統(tǒng)的安全和機(jī)密至關(guān)重要[4]。信息系統(tǒng)在集成密碼技術(shù)過(guò)程中的主要管理問(wèn)題也集中在應(yīng)用密鑰的產(chǎn)生、使用、更新等密鑰管理方面。

首先，密鑰的產(chǎn)生必須保證具備較強(qiáng)的隨機(jī)性和足夠的長(zhǎng)度，否則密鑰的強(qiáng)度難以保障，采用該密鑰保護(hù)的信息也存在被暴力破解的風(fēng)險(xiǎn)。其次，針對(duì)密鑰的使用過(guò)程，也需要根據(jù)應(yīng)用場(chǎng)景設(shè)計(jì)合理的密鑰管理體系來(lái)保障加密密鑰的安全。例如，針對(duì)網(wǎng)盤(pán)文件的加密場(chǎng)景，通常采用數(shù)據(jù)保護(hù)密鑰、密鑰保護(hù)密鑰兩級(jí)密鑰體系，金融行業(yè)采用三級(jí)密鑰體系[5]等。最后，在密鑰更新管理方面，也必須根據(jù)實(shí)際的應(yīng)用場(chǎng)景設(shè)計(jì)合理的密鑰更新策略，例如，即時(shí)通信場(chǎng)景，通常采用一次一密的會(huì)話密鑰保障通信的安全性。

以上密鑰的管理問(wèn)題通常涉及實(shí)體認(rèn)證、密鑰體制、通信加密等多種有關(guān)密碼協(xié)議和密鑰管理等領(lǐng)域的專(zhuān)業(yè)知識(shí)，對(duì)應(yīng)用廠商來(lái)說(shuō)專(zhuān)業(yè)性過(guò)強(qiáng)、難度較大，這也對(duì)應(yīng)用廠商使用密碼技術(shù)帶來(lái)了極大的挑戰(zhàn)。

綜上所述，密碼技術(shù)和密碼管理的專(zhuān)業(yè)性和復(fù)雜度問(wèn)題、密碼技術(shù)與信息系統(tǒng)的融合度不足等問(wèn)題，導(dǎo)致密碼技術(shù)出現(xiàn)“不好用、用不好、用不對(duì)”等情況，嚴(yán)重阻礙了密碼技術(shù)對(duì)網(wǎng)絡(luò)空間安全泛在化保障的推進(jìn)。

3 密碼泛在化保障方案

3.1 密碼中間件技術(shù)

中間件是位于系統(tǒng)軟件之上，連接不同軟件實(shí)體的支撐軟件。它是獨(dú)立的系統(tǒng)級(jí)軟件，連接操作系統(tǒng)層和應(yīng)用程序?qū)?，將不同操作系統(tǒng)提供應(yīng)用的接口標(biāo)準(zhǔn)化，協(xié)議統(tǒng)一化，屏蔽具體操作的細(xì)節(jié)[6]。

為解決上述密碼技術(shù)應(yīng)用的問(wèn)題，本文借鑒中間件技術(shù)，將密碼保障以密碼中間件的形式提供給信息系統(tǒng)。一方面，屏蔽具體的密碼算法、密碼協(xié)議和密鑰管理細(xì)節(jié)，讓信息系統(tǒng)使用密碼技術(shù)時(shí)無(wú)須關(guān)心具體的專(zhuān)業(yè)知識(shí)；另一方面，將獨(dú)立的中間件模塊與信息系統(tǒng)進(jìn)行透明化集成，減少信息系統(tǒng)額外的適配改造工作。從而讓密碼技術(shù)真正成為信息系統(tǒng)網(wǎng)絡(luò)與信息安全的基礎(chǔ)支撐。

按照信息系統(tǒng)軟件架構(gòu)層次，本文將密碼中間件由下至上分為文件加密中間件、數(shù)據(jù)庫(kù)加密中間件、傳輸加密中間件、密碼服務(wù)中間件。密碼中間件橫向接受密碼中間件管理系統(tǒng)的密碼服務(wù)調(diào)度、密鑰管理和狀態(tài)監(jiān)管。基于密碼中間件的密碼泛在化保障體系設(shè)計(jì)如圖1 所示。

圖1 基于中間件的密碼泛在化保障設(shè)計(jì)

3.1.1 文件加密中間件

文件加密中間件位于文件系統(tǒng)層次，它作為獨(dú)立的中間件模塊為應(yīng)用系統(tǒng)存儲(chǔ)的電子文件提供透明化存儲(chǔ)加解密能力。

文件加密中間件可基于Linux 內(nèi)核提供的用戶(hù)空間文件系統(tǒng)（Filesystem in User Space，F(xiàn)USE）框架實(shí)現(xiàn)。基于FUSE 擴(kuò)展文件加密模塊，插入FUSE 框架邏輯內(nèi)，在電子文件讀取、寫(xiě)入過(guò)程中實(shí)現(xiàn)加解密邏輯，達(dá)到寫(xiě)入加密和讀取解密的效果。

文件加密中間件對(duì)接密碼中間件管理系統(tǒng)，由中間件管理系統(tǒng)實(shí)現(xiàn)電子文件加解密過(guò)程中的密碼服務(wù)調(diào)度和密鑰分配功能。

3.1.2 數(shù)據(jù)庫(kù)加密中間件

數(shù)據(jù)庫(kù)加密中間件位于數(shù)據(jù)庫(kù)驅(qū)動(dòng)層次，它作為獨(dú)立的中間件模塊寄存到應(yīng)用軟件內(nèi)部邏輯中，為應(yīng)用系統(tǒng)存儲(chǔ)到數(shù)據(jù)庫(kù)的數(shù)據(jù)提供透明化加解密能力。

數(shù)據(jù)庫(kù)加密中間件可基于面向切面加密（Aspect Oriented Encryption，AOE）數(shù)據(jù)庫(kù)的切面式加密技術(shù)[7]，面向Java 數(shù)據(jù)庫(kù)的連接（Java Data Base Connectivity，JDBC）、開(kāi)放數(shù)據(jù)庫(kù)互聯(lián)（Open Database Connectivity，ODBC）驅(qū)動(dòng)實(shí)現(xiàn)數(shù)據(jù)庫(kù)加密插件。通過(guò)數(shù)據(jù)庫(kù)加密中間件攔截結(jié)構(gòu)化查詢(xún)語(yǔ)言（Structure Query Language，SQL）語(yǔ)句，針對(duì)數(shù)據(jù)庫(kù)表、列等數(shù)據(jù)庫(kù)操作提供細(xì)粒度數(shù)據(jù)加解密服務(wù)。

數(shù)據(jù)庫(kù)加密中間件以數(shù)據(jù)庫(kù)驅(qū)動(dòng)形式寄存到軟件系統(tǒng)服務(wù)器側(cè)，實(shí)現(xiàn)的安全防護(hù)路徑更短、更靠近應(yīng)用側(cè)，整體安全性更好，對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)保護(hù)的粒度更細(xì)，可到字段、行級(jí)別。

數(shù)據(jù)庫(kù)加密中間件對(duì)接密碼中間件管理系統(tǒng)，由中間件管理系統(tǒng)實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)加密中間件的加密粒管控、密碼服務(wù)調(diào)度和密鑰分配功能。

3.1.3 傳輸加密中間件

傳輸加密中間件位于傳輸協(xié)議層次，它作為獨(dú)立的中間件模塊代理應(yīng)用系統(tǒng)web 服務(wù)，基于安全套接字層/傳輸層安全（Secure Socket Layer/Transport Layer Security，SSL/TLS）協(xié)議構(gòu)建應(yīng)用層傳輸加密通道，為web 應(yīng)用提供傳輸加密保護(hù)能力。

傳輸加密中間件可基于web 服務(wù)反向代理實(shí)現(xiàn)，它包括部署在應(yīng)用系統(tǒng)服務(wù)器側(cè)的服務(wù)端模塊和部署在終端軟件側(cè)的客戶(hù)端模塊兩部分，通過(guò)在服務(wù)端模塊和客戶(hù)端模塊之間構(gòu)建傳輸加密通道，為應(yīng)用系統(tǒng)提供透明化傳輸加密功能。針對(duì)B/S 應(yīng)用，客戶(hù)端可直接通過(guò)安全瀏覽器與服務(wù)端模塊建立安全通道，不再單獨(dú)部署客戶(hù)端模塊。

傳輸加密中間件對(duì)接密碼中間件管理系統(tǒng)，由中間件管理系統(tǒng)實(shí)現(xiàn)傳輸中間件所保護(hù)的web 服務(wù)配置，以及所需密碼服務(wù)調(diào)度和密鑰分配功能。

3.1.4 密碼服務(wù)中間件

密碼服務(wù)中間件作為最上層中間件，位于軟件接口層次，作為獨(dú)立SDK 為應(yīng)用系統(tǒng)提供更加靈活、通用的密碼運(yùn)算服務(wù)能力。

相對(duì)于通用的密碼服務(wù)SDK，密碼服務(wù)中間件主要實(shí)現(xiàn)兩個(gè)方面的能力。

（1）面向業(yè)務(wù)場(chǎng)景的高層次保護(hù)接口。密碼服務(wù)中間件作為承上啟下的模塊，對(duì)下銜接密碼設(shè)備，對(duì)上服務(wù)應(yīng)用系統(tǒng)。它面向應(yīng)用系統(tǒng)提供“傻瓜式”密碼保障接口，例如存儲(chǔ)加密、郵件附件加密、即時(shí)消息加密等接口，屏蔽具體密碼技術(shù)和密鑰管理細(xì)節(jié)，實(shí)現(xiàn)“一行代碼”的密碼服務(wù)調(diào)用。

（2）跨語(yǔ)言和平臺(tái)支撐能力。密碼服務(wù)中間件針對(duì)現(xiàn)有主流軟件，直接提供C、Java、JS 等多種開(kāi)發(fā)語(yǔ)言接口，讓?xiě)?yīng)用系統(tǒng)使用密碼技術(shù)時(shí)更方便、直接。

密碼服務(wù)中間件對(duì)接密碼中間件管理系統(tǒng)，由密碼中間件管理系統(tǒng)實(shí)現(xiàn)場(chǎng)景化服務(wù)接口中密碼服務(wù)調(diào)度、密鑰分配等密碼技術(shù)細(xì)節(jié)管理功能。

3.1.5 密碼中間件管理系統(tǒng)

密碼中間件管理系統(tǒng)主要針對(duì)應(yīng)用系統(tǒng)使用密碼過(guò)程中的密碼管理問(wèn)題提供解決措施。它通過(guò)集中統(tǒng)一的管理策略為文件加密中間件、數(shù)據(jù)庫(kù)加密中間件、傳輸加密中間件、密碼服務(wù)中間件提供密碼服務(wù)分配、密鑰管理、中間件管理等功能。

密碼服務(wù)分配功能主要針對(duì)中間件所需的密碼服務(wù)能力實(shí)現(xiàn)策略化配置和動(dòng)態(tài)調(diào)度機(jī)制，包括各類(lèi)中間件所調(diào)用的密碼機(jī)、算法類(lèi)型、算法模式等。

密鑰管理功能主要實(shí)現(xiàn)各類(lèi)中間件所需數(shù)據(jù)保護(hù)密鑰的管理，包括密鑰全局唯一、系統(tǒng)唯一、文件唯一性等密鑰分配策略，以及密鑰保護(hù)的方式、密鑰更新的周期等，保障數(shù)據(jù)加密密鑰的安全性、可靠性、可維護(hù)性。

中間件管理功能主要實(shí)現(xiàn)各類(lèi)密碼中間件的狀態(tài)監(jiān)控、參數(shù)配置等管理功能。

此外，密碼中間件管理可綜合密碼服務(wù)和密鑰管理規(guī)則，依照應(yīng)用場(chǎng)景維度產(chǎn)生具體的管理模板，簡(jiǎn)化密碼管理。例如，密碼中間件管理可針對(duì)電子郵件、即時(shí)通信、網(wǎng)盤(pán)等常見(jiàn)應(yīng)用實(shí)現(xiàn)常用密碼管理模板，從而為新建信息系統(tǒng)提供密碼服務(wù)的一鍵化分配和實(shí)施。

3.2 效能分析

通過(guò)獨(dú)立的密碼中間件軟件為信息系統(tǒng)各個(gè)層面的應(yīng)用和數(shù)據(jù)安全提供密碼保障能力，將具體的密碼實(shí)現(xiàn)和密碼管理細(xì)節(jié)進(jìn)行封裝，為應(yīng)用系統(tǒng)提供透明化數(shù)據(jù)保護(hù)能力、便捷易用的密碼服務(wù)接口，減少和避免應(yīng)用系統(tǒng)改造，從而解決了信息系統(tǒng)使用密碼過(guò)程中的復(fù)雜性、專(zhuān)業(yè)性問(wèn)題，讓密碼技術(shù)真正“用起來(lái)、用得對(duì)、用得好”，有效提升了密碼泛在化保障能力。

4 結(jié)語(yǔ)

本文分析了密碼技術(shù)在信息系統(tǒng)應(yīng)用和數(shù)據(jù)安全方面的保障作用和典型場(chǎng)景，通過(guò)深入分析密碼應(yīng)用中的典型密碼技術(shù)和密碼管理問(wèn)題后提出解決方案，設(shè)計(jì)了基于密碼中間件的密碼泛在化保障體系，并按照軟件架構(gòu)層級(jí)分別闡述了各類(lèi)密碼中間件的關(guān)鍵技術(shù)，以及集中統(tǒng)一的中間件管理系統(tǒng)。從而為密碼泛在化保障提供解決思路，讓密碼技術(shù)作為網(wǎng)絡(luò)空間安全DNA 能夠無(wú)縫融入信息系統(tǒng)建設(shè)過(guò)程，成為構(gòu)筑網(wǎng)絡(luò)信息系統(tǒng)安全體系和信任體系的基石。