基于云网融合的政务云密码应用建设

张静

(安徽省大数据中心，安徽合肥230001)

1 引言

随着“数字中国”战略引领政府加快数字化转型，政务信息系统巨大的数字化和智能化需求变化对包括政务网络和政务云在内的电子政务基础设施提出了新挑战。后疫情时代，加速了政务网络、政务云、政务应用和数据资源的融合，政务信息系统上云已成为主流趋势[1]，政务云由以前提供单一的云或网络资源服务的服务模式，转变为独具特色的“云网一体化”服务和运维模式[2]。基于云网一体化架构[3]，在政务云的规划设计、建设实施、升级改造和运行维护中运用密码技术，形成密码应用体系，可有效发挥密码技术在政务信息系统中的安全保障作用，更好满足“数字政府”建设对资源集约化的发展要求。

2 背景概况

基于云网融合的政务云平台，通过电子政务网络强大的网络通信传输和资源汇聚能力，融合了大量跨部门、跨平台的数据，但存在易遭受网络攻击，存在用户假冒、数据篡改、信息泄露等安全风险[4]。如何为云上政务信息系统提供更加可靠的安全保障，是当前政务云建设发展过程中亟须解决的问题。

密码技术作为网络与信息安全保障的核心技术和基础支撑[5]，是解决政务信息系统安全保障问题的基础技术手段，在身份认证、信息加密、安全隔离、完整性保护和操作抗抵赖等方面发挥着不可替代的作用。《中华人民共和国密码法》的颁布实施，把密码应用和管理的基本制度及时上升为法律规范，填补了我国密码领域长期存在的法律空白，为密码创新应用和发展提供法律依据和底线保障。《信息安全技术信息系统密码应用基本要求》《商用密码安全性评估管理办法(试行)》《政务信息系统密码应用实施指南》《政务信息系统密码应用与安全性评估工作指南》等相关技术指南和标准规范的出台，为政务云及其承载的信息系统密码应用提供指导和参考[6]。

早期的政务云主要通过部署传统密码设备给信息系统提供密钥管理或数据加密等密码服务，但传统密码产品和部署方式无法满足云计算环境下海量数据的稳定高速加解密和签名验签等需求[7]。随着密码技术在金融[8]、交通[9]、政务[10]等领域的应用推广，传统的密码技术正在向云密码服务的方向进行转变，“密码+云”的融合应用成为大势所趋[11]。2017年起，贵州等省份开展了国家商用密码算法在政务云的应用试点，将签名、加密、授权等服务使用虚拟化技术进行封装，屏蔽安全设备之间的差异，形成多种密码服务资源池，并对其进行统一管理、监控并作日志审计，建立集约化政务云密码服务。

3 总体思路

基于政务云和政务外网“分区分域”的架构理念，按照总体性、完备性、经济性原则，开展政务云的密码应用顶层设计，在政务数据中心机房部署安全门禁系统和视频监控系统，形成可信的环境监控，共建共享政务云和政务外网密码基础设施，并依托政务云平台业务区的资源部署密码服务支撑系统，融合政务云数据中心、政务外网和政务云平台密码应用，形成体系化、分层次、合理可行的密码支撑保障能力，满足政务云的物理和环境、网络和通信、设备和计算、应用和数据、安全管理等层面的安全需求。技术框架如图1所示。

图1 政务云密码应用技术框架

4 架构设计

4.1 可信环境监控

政务外网和政务云的网络、安全、存储和计算服务器等硬件设备部署在专用的数据中心机房，机房的物理环境属于密码安全的最基础又不可或缺的组成部分。在数据中心机房部署安全门禁系统和视频监控系统，实现对机房进出记录和视频监控数据的机密性和完整性保护。

1)安全门禁系统：安装非接触式国密智能IC 卡的国密门禁系统，采用门禁读卡器和门禁控制器分离的方式，基于国密SM4 对称密码算法和密钥分散机制等密码技术对进出机房人员进行身份鉴别。门禁后台管理系统基于PCI-E 密码卡采用HMAC-SM3 的消息鉴别码(MAC)机制对电子门禁系统进出记录数据进行存储完整性保护。

2)视频监控系统：国密视频监控系统使用符合行业标准要求的国密摄像机和国密硬盘录像机(NVR)，并安装国密播放客户端软件(内置PCI-E 密码卡)，对视频监控数据和存储进行完整性保护。

4.2 密码基础设施

密码基础设施，主要采用符合国家密码相关标准且获得国家商用密码产品证书或认证证书的VPN安全网关、服务器密码机、USB Key 等相关密码设备和密码技术对政务云平台中关键业务应用的资源访问控制信息、日志记录、重要审计数据、重要配置数据等进行完整性保护，并保障用户鉴别数据、重要业务数据、用户信息等数据传输和存储的机密性和完整性。

1)网络边界区域部署SSL VPN、IPSec VPN 和安全认证网关，保障网络和数据传输安全。

①SSL VPN：主要用于在网络上建立安全的信息传输通道，通过对数据包的加密和数据包目标地址的转换实现远程访问，利用加密通信信道保护传输数据的机密性和完整性。

②IPSec VPN：政务网络和政务云的数据中心机房之间通过专线+IPSec VPN 的模式，实现通信双方身份鉴别、通信通道和数据传输机密性、完整性保护等功能。

③安全认证网关：采用数字证书为政务云提供用户的统一管理、身份鉴别、单点登录、传输加密、访问控制和安全审计等服务，结合SSL VPN 和堡垒机确保运维人员的身份可识别，操作可追溯。

2)在平台运维区域部署服务器密码机、日志审计服务器和加密存储服务器等，保障政务云平台业务和运维数据存储安全。

①服务器密码机：作为资源池中的核心密码算力资源，主要为应用系统提供数据加解密、签名验签、杂凑等密码运算服务，支持虚拟化并保证各租户间密码运算资源的隔离。

②日志审计服务器：记录密码应用设备生产日志、平台设备运行日志以及运维人员访问和操作日志。

③加密存储服务器：采用国密算法加密存储数据及文件，将日志审计采集的日志等相关数据及文件加密存储，保证日志数据的完整性、机密性以及抗抵赖性。

④签名验签服务器：支持SM1/SM2/SM3/SM4密码算法，具备数字签名/验证、文件签名/验证、数字信封、密钥管理、证书管理、数据杂凑等功能。

⑤时间戳服务器：链接国家授时中心标准的时间，提供标准的应用服务接口，为对时间敏感的领域提供在特定时间上数据存在的证明服务。

3)用户管理区域通过在用户终端安装部署国密浏览器，并分发USB Key，对访问政务云平台或应用系统的人员进行身份鉴别。

①国密浏览器：基于IE/Blink双内核设计，具备加解密、签名、杂凑等密码运算能力，并增加国密密码模块和安全协议，支持SM2、SM3、SM4等密码算法，支持基于国密算法的SSL协议，兼容主流厂家的USB Key，为商用密码应用的落地提供有力支撑。

②USB Key：主要作为身份鉴别Key，提供签名验签、杂凑等密码运算服务，实现信息的完整性、真实性和不可否认性保护，同时提供一定的存储空间，用于存放数字证书等用户数据。

4.3 密码服务支撑

密码服务支撑，主要通过统一密码服务平台集成调度服务器密码机等硬件设施与证书认证系统等软件系统的密码能力，统一为政务云平台流转的身份鉴别数据、应用业务数据、虚拟机镜像文件、租户镜像文件、云平台管理应用的配置数据、访问和操作日志等进行存储的完整性保护，防止被非授权篡改。

1)统一密码服务平台。在政务云的政务外网公共网络区和互联网区各部署一套密码服务系统，两区之间通过跨网数据安全交换系统进行数据交互，形成统一密码服务平台，提供支持云化部署加解密、签名验签、数据摘要和MAC等基本密码功能服务以及提供PKCS7 等多种标准格式签名和数字信封等密码应用服务，提供满足业务数据安全需求的密码能力。

2)证书认证系统。主要为设备/用户的身份鉴别提供真实性、身份验证、签名验签等信任服务。政务云以国家电子政务外网数字证书中心根CA 作为证书签发机构，在政务云机房建设本级电子政务外网RA 节点，通过双向SSL 安全通道为系统中的设备、服务和用户颁发数字证书，满足本地政务外网数字证书的申请、签发、更新和管理服务。

3)密钥管理系统。政务云涉及的密钥主要包括身份鉴别密钥、会话密钥和管理员公私钥。根据产品安全策略，梳理密钥管理层次，明确密钥的功能、生命周期和保存方式，建立合规安全的密钥管理体系及安全机制，制定密钥管理制度，并严格遵照制度进行使用和实施，保障其(除公钥) 不被非授权地访问、使用、泄露、修改和替换。

5 应用成效

基于云网融合的政务云密码应用能够提升电子政务基础设施服务水平和安全防护能力，推动跨部门的政务数据交换共享和资源整合，促进“数字政府”建设和密码行业发展。一方面可以发挥集约共享的经济效益。按照电子政务外网和政务云的统一安全标准部署密码应用，可以充分利用政务网络的通信传输能力和政务云的计算服务能力，集约政务云、政务网络和密码资源，实现云网用户单点登录，密码资源集约共享，服务协同支持，避免重复建设导致的资金浪费和过度保护。另一方面可以发挥善政、惠民、兴业的社会效益。以云计算的理念和架构对密码服务进行分层，为各项政务应用提供了更扎实坚固的密码护盾。政务应用系统可直接使用政务云密码服务快速部署和运维，加快电子政务应用部署速度，提高为民办事的行政服务效率。政务云高质量供给要求，推动密码技术升级和创新应用，让密码应用从产品化走向服务化，有助于培育良好的密码产业生态。

6 结束语

新基建时代，政务云与政务网作为“数字政府”的底座，正走向高度协同、加速融合的新发展格局。采用密码技术为支撑框架，打造基于云网融合的政务云密码应用，形成以密码为核心的政务云、网安全保障体系，能够全方位提升数据的加密传输、安全存储、可回溯以及云上政务信息系统及数据资源的安全可信，进一步促进网络整合的成果转换，确保政务云密码应用建设投资合理，规模适度。