云计算环境下密码资源池系统的应用

张 晏 岑荣伟 沈宇超 国 强

(国家信息中心信息与网络安全部 北京 100045)



云计算环境下密码资源池系统的应用

张 晏 岑荣伟 沈宇超 国 强

(国家信息中心信息与网络安全部 北京 100045)

(zhangyan@cei.gov.cn)

在云计算环境下，密码技术为信息系统和海量数据提供可靠的安全保障，各业务应用系统迫切需要大容量、可靠的、云密码服务系统.提出云计算环境下一套完整的密码应用解决方案——密码资源池系统，系统对云中密钥和密码设备实现统一全生命周期的安全管理，通过硬件虚拟化技术，为多个应用系统提供高速、可靠、可扩展的密码运算服务，有效地提高密码资源的利用率，降低了密钥管理和使用的风险.

云计算；云安全；云密码；密码资源池系统；密钥管理

随着云计算技术的大力发展与普及，越来越多的传统应用开始向云端迁移，借助云计算特有的高可靠性、可扩展性、灵活性、低成本，实现数据集中管理及高效的资源利用[1].但是，应用系统和数据向云端迁移的同时，也带来许多新的问题，信息安全问题尤为突出[2].当前，许多传统应用系统已通过集成密码机等硬件密码设备，为业务应用提供信息安全保障[3]，但在云环境中使用密码设备存在诸多问题，传统的密码设备使用方式已经不适合云环境，用户密钥的安全、密钥的管理和设备维护更加困难.

本文提出云计算环境下一套完整的密码应用解决方案——密码资源池系统，能够对密钥、设备进行集中安全管理，能够提供高效密码运算服务，支持密码资源的虚拟化和多应用共享，能对密码资源进行实时监控、合理分配和负载均衡，具有可扩展、高性能、低风险等特点.

1 现状及需求

云计算环境下，数据的安全主要依靠云中部署的密码设备来保障.但由于国外密码产品在国内各行业的影响根深蒂固，而国产密码算法起步较晚，与行业应用结合过程中的兼容性问题有待解决，配套体制需要健全，体系的标准化需要完善[4].云计算环境下，已有的密码机使用存在问题：加密机厂商种类繁多，没有统一的接口和指令标准，导致开发和管理的复杂性高；业务系统独占加密机，导致加密机重复投资，运算资源浪费，运维管理困难；由于专业程度不同，对于加密机的使用方式存在一定的安全隐患；加密机基数的增大会造成设备管理分散，设备故障或升级难度几何放大；密钥管理和使用分散，用户需要自己维护密钥与密码设备之间的关系，繁琐且存在安全风险.因此，设计和开发适合云计算环境下的密码资源管理和密钥管理系统迫在眉睫.

2 密码资源池系统

密码资源池系统是遵循国家商用密码应用领域中的相关标准和规范进行设计和开发的，支持SM1,SM2等国密算法.

系统架构如图1所示，由密码资源调度系统、密码服务资源池、密码服务代理3部分组成.3部分之间通过SSL协议进行通信，保证了数据通路的安全.

图1 密码资源池的系统架构

2.1 密码资源调度

密码资源调度系统实现对密码资源的分配、管理及统一调度.区域内分3个子系统，运维管理子系统、用户管理子系统及密钥管理子系统.

运维管理子系统作为设备资源的提供者，具有创建设备、分配设备、设备监控的统一管理权限.运维管理子系统对设备进行统一管理，能够根据分配策略进行智能化资源分配.分配的原则是避免相同用户的虚拟设备划分在同一台机器上，从而提高整体设备运行的容灾性能.系统管理员可以创建用户，代填用户需求，根据需求分配、同步设备给用户，并拥有对设备的启停控制权.系统提供了故障管理和监控功能，能够及时通过短信、邮件方式通知系统管理员，以确保设备正常运转.

用户管理子系统是对用户开放的管理系统，分为权限管理、密钥管理、密码服务管理.用户具有设备的使用权限，可在系统内创建自己的人员体系架构，完成对设备、密钥和密码服务的管理.

图2 密码资源池系统部署图

密钥管理子系统作为一个整体，统一对外提供密钥管理服务，能够对密钥生成、分发、备份、恢复、销毁、归档、注销等进行全生命周期管理.通过对密钥的集中管理，有效地降低了密钥管理的安全风险.

2.2 密码服务资源池

密码服务资源池是密码设备的集中存储区域，由虚拟密码机和统一管理接口组成.通过硬件虚拟化技术，将云中的密码设备虚拟成各个相互独立的虚拟密码机，各虚拟密码机配置人员管理、密钥管理、密钥查询、备份恢复等密码服务接口.每台虚拟密码机全面支持SM1,SM2,SM3,SM4等国产密码算法，同时支持RSA,3DES,AES等国际通用算法，支持签名验签、密钥分散、MAC计算、数据加解密、数字信封等各种运算方式，算法安全强度高，满足用户不同的应用需求.密码服务资源池与上层对接时，支持JCE,PKCS#11,SDS等多种标准密码应用接口，将底层调用进行抽象，屏蔽了不同型号密码设备的接口调用，使得接口调用更加快捷方便.密码资源调度模块可通过调用接口完成对云中密码设备资源的控制.

2.3 密码服务代理

密码服务代理是云租户和密码服务资源的传输纽带，通过消息总线访问模式，支持多种通信方式，异步数据传输，大大提高了平台的可靠性和安全性.密码服务代理提供用户的业务服务接口，用户应用通过此接口完成对密码设备的数据访问.用户将需要挂载或者卸载的云密码设备信息同步到负载均衡，由负载均衡统一管理.动态调度最高可达127台，进行数据处理的吞吐效率系数不低于70%.每个服务器最大并发数不少于10 000.

3 密码资源池的应用场景

密码资源池系统典型的部署方案如图2所示，分为设备管理和密码服务调用两大部分.

3.1 设备管理

云密码服务供应商部署密码资源池系统，为云租户提供密码资源服务平台.供应商具有管理员权限，通过远程登录方式，进行云中密码设备虚拟密码化创建、密码服务的启停、密码设备状态监控等操作.供应商接收用户租用云密码服务请求，处理请求，进行数据的推送任务，根据用户的需求对密码资源进行合理分配和处理，通过负载均衡器，提高密码服务的效率.当云租户数量增多或业务应用系统数据增加，已有的密码资源不能满足需求时，云密码服务提供商可以在密码资源池中添加密码设备，通过统一的管理接口与上层的密码资源调度模块对接，实现对密码设备安全有效的管理，加大密码服务容量，系统具有良好的可扩展性.

3.2 密码服务调用

用户对云密码资源的租用方式可分为2种：一是设备租用者，这类用户租用云密码服务提供商的密码设备，自己对设备进行规划、使用和管理；二是服务租用者，此类用户只租用密码服务，不关注密码设备管理，设备管理由运营商进行维护和规划，降低了密钥管理的风险.

对于设备租用者先构建自己的权限人员体系，并对自己拥有的设备或者是提供给密码服务租用者的设备进行规划，根据自己的业务或者密码服务租用者需求进行密钥的创建、分配及其他管理操作，并对内或者对外的应用系统进行密码服务.

对于服务租用者先申请密码服务调用地址，得到密码服务提供商的许可后，根据用户业务应用系统的需求，通过标准JCE接口对密码服务进行调用.

通过以上2种方式，从用户看来，业务应用系统与密码应用一一对应，每个应用系统由相互独立、互不干扰的密码机提供密码资源服务.

4 结 论

本文通过对云计算环境下密码应用所面临的问题进行分析和研究，提出了一套密码应用解决方案.用户既可以只租用云中的密码机为业务应用系统提供密码服务，摆脱密钥管理的困扰，也可以租用云中密码机，自行管理、规划、使用，具有高可用性、可扩展性，有效提高了密码资源在云计算环境下的管理和应用.

[1]Armbrust B M, Fox A, Griffith R, et al. Above the clouds: A berkeley view of cloud computing[J]. Eecs Department University of California Berkeley, 2009, 53(4): 50-58

[2]冯登国, 张敏, 张妍, 等. 云计算安全研究[J]. 软件学报, 2011, 22(1): 71-83

[3]容晓峰, 李增欣, 郭晓雷. 密码服务系统研究综述[J]. 计算机安全, 2010 (3): 62-66

[4]田景成. 云计算与密码技术[J]. 信息安全与通信保密, 2012 (11): 132-134

张 晏

硕士，工程师，主要研究方向为云存储安全、移动办公安全.

zhangyan@cei.gov.cn

岑荣伟

博士，高级工程师，主要研究方向为网络安全、电子认证技术.

cenrw@cei.gov.cn

沈宇超

博士，高级工程师，主要研究方向为安全与电子认证技术.

shenyc@cei.gov.cn

国 强

硕士，工程师，主要研究方向为信息安全、电子认证技术.

guoqiang@cei.gov.cn

The Application of Cryptography Resource System in Cloud Computing

Zhang Yan, Cen Rongwei, Shen Yuchao, and Guo Qiang

(DepartmentofInformationandNetworkSecurity,StateInformationCenter,Beijing100045)

In cloud computing, we protect information system and huge amounts of data by the cryptographic techniques, each business application system needs large capacity and reliable cloud cryptographic service to protect information security and efficiently use cloud cryptography resources and effective key management. In this paper, we put forward a cryptography resource system to effectively manage cryptography resource in cloud computing environment. The system provides the whole life cycle of key and cryptographic device. Through hardware virtualization technology, the system can provide high speed, reliable, scalable cryptographic service for multiple application system. It effectively improves the utilization of cryptography resources and reduces the risk of the key management and application.

cloud computing; cloud security; cloud cryptography; cryptography resource system; key management

2016-05-29

电子政务云集成与应用国家工程实验室项目

TP309