您好，
访客
登录/注册
摘要：为响应国家商用密码政策及密码应用推广要求，按照商用密码规划试点要求，基于商用密码应用改造需求，设计密码应用方案，提供密码支撑服务与密码应用服务。采用合规的密码技术、模块及产品，设计密码支撑保障体系，并开展密码应用合规性评估。
关键词：商用密码;密码技术;合规性评估
中图分类号：G642 文献标识码：A
文章编号：1009-3044（2021）15-0062-03
1 背景
2018年中办国办下发《金融和重要领域密码应用与创新发展工作规划（2018-2022年）》厅字[2018]36号明确指出，在金融和重要领域等13个重点方向大力推进密码全面应用。为响应国家商用密码政策及密码应用推广要求，按照商用密码规划试点要求，对某系统进行商用密码改造工作，并最终开展密码使用合规和安全性评估。
2 系统现状分析
2.1 信息资源分析
系统后台登陆方式为用户名、密码登录，权限根据不同用户组进行分配，统一管理。主要涉及的信息资源是用于后台用户身份认证的身份鉴别信息，支撑系统的系统基础信息以及用于提供给公众的发布信息。
2.2 密码应用现状分析
某系统已经通过等级保护三级测评，结合等级保护测评提出的整改建议，涉及密码应用的环节主要是后台管理端，目前各类后台角色使用HTTP方式登录系统，在系统登录时通过用户名、口令和验证码方式进行身份鉴别，登录页面采用了浏览器JS通过MD5实现提交口令的客户端加密传输。在内容管理时，通过HTTP明文方式进行传输。
3 商用密码应用改造需求
3.1 网络和通信安全改造需求
管理员进行某系统后台管理操作时，未对管理数据进行加密传输，需要对系统管理数据、鉴别信息等采用经国家密码主管部门认可的密码技术，保证其在通信过程中数据的私密性。
3.2 应用系统改造需求
主要存在问题主要是某系统未采用两种或两种以上组合的鉴别技术，未对重要数据进行加密传输，以及未采用密码技术对重要数据进行加密存储。
4 商用密码应用改造设计
4.1 目标
基于商用密码应用改造需求，设计某系统密码应用方案总体框架，提供密码支撑服务方案与密码应用解决方案设计;采用合规的密码技术、模块及产品，设计密码支撑保障体系;建立基于商用密码的合规有效的安全系统。
4.2 改造部署图
在数据中心新增部署两台SSL VPN，做双机热备，提供管理终端到服务器的管理数据加密以及基于数字证书身份认证;在应用服务器上部署密码管理服务平台SDK，提供数据安全服务，为重要数据提供完整性、机密性保护。在管理终端部署USBKEY及客户端软件，完成身份鉴别及网络接入认证。
4.3 密码支撑服务设计
基于商用密码应用改造需求进行设计，框架分为密码服务管理平台和应用层密码应用两大部分。
密码服务管理平台为密码供给方，可以同时为多个业务应用提供密码支撑服务，主要由密码服务支撑系统、密码服务系统和密码设备与服务系统组成，将密码能力服务化提供给应用系统调用，简化应用系统商用密码改造工作量。
某系统作为应用层密码应用，利用密码管理服务平台提供的密码支撑服务，形成使用密码技术保护的具体业务处理机制和流程，设计面向具体业务的密码应用解决方案，以满足应用和数据层面安全要求。
4.4 密码应用服务设计
4.4.1 密码应用架构
系统后台管理登录，身份鉴别采用双因素登录认证，管理终端上采用USBKey，通过SSL VPN进行网络接入身份鉴别，认证通过后实现管理终端与某系统之间管理数据的传输加密保护;通过密码管理服务平台提供的身份鉴别接口，完成管理员后台身份鉴别;在服务器部署密码管理服务平台密码服务SDK，进行适配改造，通过密码管理服务平台数据安全策略，实现对重要数据的存储加密保护。
4.4.2 密钥管理与使用
按照认证原则及数据传输双证书、一次一密原则，系统使用的密钥总体划分为用户密钥、平台密钥、通讯密钥三种基本类型。
系统使用的密钥包括：
1）管理终端：用户密钥、通讯密钥;
2）应用服务器：签名密钥、加密密钥、通讯密钥、CA签名密钥、CA加密密钥。
4.4.3 证书管理与使用
采用双证书管理原则，证书由自建CA签发。系统在数据传输中采用签名证书与加密证书的双证书认证安全体系，签名证书用于数字签名验证，加密证书用于密钥协商。
证书包括管理终端的用户证书 、系统的证书、密码管理服务平台的服务平台证书。
4.4.4 密码应用关键流程设计
1）身份认证流程
①将管理员证书通过离线导入方式导进SSL VPN;
②当后台管理员访问后台时，首先提交身份认证信息;
③SSL VPN根據管理员提交的身份认证信息进行身份认证;
④将认证结果返回至管理员客户端;
⑤如认证通过，则建立连接，对后台进行访问;
⑥如认证失败，则无法建立连接，拒绝后台进行访问。
2）签名验签流程
①管理员提交信息，调用密码服务SDK对提交信息进行摘要处理，得到消息摘要;
②密码服务SDK使用管理员私钥对摘要进行加密，得到签名;
③管理员将提交信息和签名一起发送到服务器应用服务器;
④应用服务器使用获取签名中管理员公钥，验证管理员证书有效性，解密签名，得到摘要信息;
⑤应用服务器根据提交信息生成摘要信息并对比接收到的消息摘要和计算出的消息摘要是否相同。
3）数据加密流程
数据加密分为数据库存储加密和应用传输数据加密。
①数据库加密流程
A.调用密码服务系统的数据加密SDK接口，发起写入数据操作;
B.数据加密SDK向密码服务系统的API网关发起获取数据密钥请求;
C.API网关向密码服务系统的身份认证服务发出身份认证请求，以便确认发起该请求的用户身份;
D.身份认证服务根据相关信息确认用户身份有效性和确认用户权限后，返回结果;
E.API网关确认用户身份正确后，向密码服务系统的密钥管理服务发起获取数据密钥请求;
F.密钥管理系统的密钥管理服务获取密钥密文及属性信息，完成待分发密钥封装，返回结果;
G.密码服务系统的密钥管理服务返回获取数据密钥请求结果;
H.API网关返回获取数据密钥请求结果;
I.数据加密SDK校验、解密数据密钥封装，提取出数据密钥;
J.数据加密SDK向密码服务系统的API网关发起获取完整性校验密钥请求;
K.API网关向密码服务系统的身份认证服务发出身份认证请求，以便确认发起该请求的用户身份;
L.身份认证服务根据相关信息确认用户身份有效性和确认用户权限后，返回结果;
M.API网关确认用户身份正确后，向密码服务系统的密钥管理服务发起获取数据密钥请求;
N.密钥管理系统的密钥管理服务获取密钥密文及属性信息，完成待分发密钥封装，返回结果;
O.密码服务系统的密钥管理服务返回获取数据密钥请求结果;
P.API网关返回获取完整性校验密钥请求结果;
Q.数据加密SDK校验、解密完整性校验密钥封装，提取出完整性校验密钥;
R.数据加密SDK使用数据加密密钥和完整性校验密钥完成数据加密，返回加密结果;
S.接收到写入数据的结果。
②应用数据加密流程
应用加密通过密码服务SDK调用密码管理服务平台基础密码服务接口采用数字信封方式实现，加密流程描述如下：
A.将需要提交数据作为参数，调用密码服务SDK数字辛信封接口;
B.密码服务SDK调用密码管理服务平台基础密码服务，生成数字信封，返回浏览器;
C.浏览器将数字信封发送至应用服务器;
D.应用服务器通過调用密码服务SDK接口，解析数字信封，获取明文数据，完成相应业务处理。
5 结束语
通过对该系统的现状以及密码应用现状分析，得出该系统的商用密码应用改造需求。采用合规的密码技术、模块及产品构建体系化的密码支撑服务与密码应用服务，满足商用密码应用合规性要求。合规性分析如下表所示。
参考文献：
[1] 信息安全技术 信息安全风险评估规范[Z].GB/T 20984.
[2] 通用密码服务接口规范[Z].GM/T 0019.
[3] 证书应用综合服务接口规范[Z].GM/T 0020.
[4] SSL VPN技术规范[Z].GM/T 0024.
[5] 信息系统密码应用基本要求[Z].GM/T 0054-2018
[6] 金融和重要领域密码应用与创新发展工作规划（2018-2022 年）[Z].厅字[2018]36号.
【通联编辑：代影】
