浅谈密码技术在电信运营商数字化转型中的应用

罗瑞盟，刘宏伟，毛 盾，张婧宇，雷 阳，唐昊同

（联通数字科技有限公司，北京 100032）

2022年1月，国务院印发《“十四五”数字经济发展规划》[1]。数字经济是继农业经济、工业经济之后的主要经济形态，以数据资源为关键要素，以信息网络为主要载体，以新兴技术融合应用、全面数字化转型为重要推力，促进公平与效率更加统一的新数字经济形态。数字经济以数字化产业、产业数字化、数字化治理和数据价值化为核心体系。电信运营商既是数字产业化的核心企业，又是赋能产业数字化的中坚力量，加快推进数字化治理、挖掘数据要素价值已成趋势[2]。

云计算、物联网、大数据、5G、量子通信、量子计算、区块链等新技术和新应用层出不穷，密码工作也迎来了新责任、新使命和新起点[3]。密码作为国家重要的战略资源，是维护网络安全最有效、最可靠、最经济的技术手段，在加密保护、安全认证等网络信息关键技术方面发挥着重要作用[4]。我国数字经济逐步迈向由弱变强、提速优化的新台阶，电信运营商将迎来“重塑发展模式、优化发展赛道”的发展新机遇。电信运营商属于数字产业化的核心成员[5]，其数字化转型既要聚焦于新兴技术，也要加强密码技术与新技术、新业态的应用融合，充分发挥密码的安全卫士作用，为国家安全和经济社会发展有力护航。

1 我国商用密码的发展

我国密码技术的发展经历了古典密码、机械密码、现代密码三个阶段，在这个过程中，密码技术在保密与破译、窃密与反窃密的激烈博弈中不断演变，密码学由一门艺术发展成为一门科学[6]。1999年，我国《商用密码管理条例》发布。经过20余年的发展，商用密码技术及应用取得了丰硕的成果。2020年1月，《密码法》的颁布实施填补了我国密码领域的法律空白[7]，为密码工作的科学化、法制化、规范化管理提供了根本遵循和法律保障。

1.1 商用密码标准的发展

当前，商用密码行业标准分为基础类标准、应用类标准、检测类标准和管理类标准[8]。基础类标准为其他三类标准提供了底层、共性支撑（如术语、算法、协议、产品等）；检测类标准为基础类标准和应用类标准提供了合法性检测的功能，保障商用密码使用的合法性；管理类标准为其他三类标准提供了管理功能；应用类标准为上层具体的密码产品、服务应用提供支持。在相关部门的共同努力下，我国密码标准正快速走向国际。我国SM系列算法已纳入ISO/IEC标准，对促进我国商用密码产业发展、提升我国商用密码的国际影响力具有重要意义。

1.2 商用密码产品的发展

商用密码产品是指实现密码运算、密钥管理等密码相关功能的硬件、软件、固件或其组合。按照形态，商用密码产品可以划分为软件、芯片、模块、板卡、整机和系统六大类[6]。根据市场监管总局官方数据统计，截至2022年6月，通过检测认证的商用密码产品已达1253款，形成了较完整的商用密码产品体系和产业链条。丰富的产品类型满足了各类信息系统的需要，更好地适应了商用密码产业发展趋势。

1.3 商用密码应用安全性评估

商用密码应用安全性评估（简称“密评”），是指在采用商用密码技术、产品和服务集成建设的网络与信息系统中，对其密码应用的合规性、正确性、有效性等进行评估[6]。密评的开展是应对网络安全严峻形式的迫切需要，是规范商用密码应用的客观要求，也是信息系统运营者和主管部门必须承担的法定责任。密评体系的建立能更有效地解决商用密码应用中的不广泛、不规范、不安全等突出问题。

经过多年的积累和发展，密评制度体系逐步健全成熟，密评队伍不断壮大规范。国家密码管理部门在密评机构的培育认定上，坚持“总量控制、科学布局、择优选取、培育辅导、行政许可”的总体思路[6]。自2017年开展密评试点工作以来，培育了48家（国家密码管理局42号文公开发布）+25家（本行业、本地区内部通知）共计73家密评试点机构。

1.4 我国商用密码发展趋势及建议

“标准引领发展，标准建立信任”，我国的密码算法标准已陆续走向国际，但设施类、产品类、测评类、应用类等大多数标准未成为国际标准。要实现密码强国的目标，我们应加强与国际标准化组织的对话与合作，积极推进我国密码标准的国际化进程，打造具有中国特色的国际化密码标准。

密码算法是密码技术的核心。我国2019年举办的全国密码算法竞赛取得了圆满成功，遴选出了一大批优秀的密码算法，为我国的商用密码算法做了很好的储备，但还存在一些不足。新型计算模式（如量子计算和生物计算）的出现对密码算法的安全性提出了新的挑战，研制可以抵抗量子攻击的新一代密码算法已经成为当务之急。

2 电信运营商的密码应用需求

数字时代呼唤安全创新。密码是国之重器，是数字技术发展的安全保障，是保障网络与数据安全的核心技术，也是推动我国数字经济高质量发展、构建网络强国的“撒手锏”技术。从实战需求看，日趋严峻的网络与数据安全威胁使得数字经济迫切需要密码技术这个“压舱石”，以有效抵御外部黑客攻击、防止内部人员泄密。从合规需求看，以密评为抓手落实《密码法》的相关要求，并结合《网络安全法》《数据安全法》《个人信息保护法》等法律法规要求，电信运营商的密码应用新需求也在不断涌现。面对电信运营商庞大复杂的业务现状，需要不断提升安全服务保障意识，加强密码技术在真实性、保密性、完整性和不可否认性等方面的应用，构建完善的电信运营商网络安全架构体系。

2.1 密码技术在云计算中的应用

云计算正在成为电信运营商的战略重点，体现了未来网络的协作模式，传统密码技术已经无法满足云服务的安全需求，需要在密码服务中持续开展创新研究。一是在密码技术方面，建立有效的隔离控制机制，防止资源非授权访问；建立敏感数据的真实性和完整性保护机制，保障数据存储和传输安全；建立新一代统一身份认证平台，实现所有应用的单点登录，保障用户身份和权限的动态同步；建立虚拟化安全机制，为虚拟化环境中数据、网络和计算资源提供全方位的保护。二是在密码管理方面，建立大规模的密钥管理体系，实现密钥生成、存储、导入导出、分发、使用、备份和恢复、归档、销毁全生命周期的管理；建立数据管理体系，进行数据加密存储、访问控制、安全共享等，保障数据安全；建立门禁系统、视频监控、指纹识别等物理管控机制，包含机房等物理环境的安全。三是在安全审计方面，建立行为及日志记录机制，对记录数据应加密存储并进行有效签名，保障数据的机密性、完整性和抗抵赖性。

2.2 密码技术在大数据中的应用

在数字经济时代，在海量数据的使用、传输和共享方面，密码技术起到了关键性安全保护作用。大数据时代，数据安全的需求已经从传输扩展到了存储和处理，特别是在各种数据上云的时代，云存储对密码技术提出了新的要求，如密文计算、全同态加密、安全多方计算等。

2.3 密码技术在物联网中的应用

物联网的快速发展对密码技术提出了新的挑战。在物联网的应用场景中，重点保护的是物联网终端设备信息的采集、管理、分析以及参数和控制指令的下发。海量弱终端的信息保护不仅仅局限于轻量级对称密码算法，同样需要公钥密码算法来提供更丰富的功能。基于传统公钥密码算法运算的复杂性和负载能力，很多弱终端无法承受，基于格的抗量子密码算法的出现为设计轻量级公钥密码算法提供了新思想。

2.4 密码技术在区块链中的应用

区块链诞生以来，因其本身的不可篡改、可溯源、去中心化等特性而逐渐受到人们的广泛关注。我国三大电信运营商均在区块链领域有不同程度的研究，探索区块链在电信行业的应用场景。密码技术主要用于区块链系统中的交易签名验签、默克尔树结构、共识机制、信息加密、权限控制、P2P网络通信等方面。密码技术主要满足以下需求：一是交易用户的身份鉴别真实性和权限控制需求；二是交易的抗抵赖性需求；三是用户匿名和隐私性保护需求；四是敏感信息的机密性需求；五是交易记录和账本的完整性需求。

2.5 密码技术在5G网络中的新应用

5G网络是未来社会信息服务基础设施，其生命周期预计为2020—2040年[9]。密码技术可为5G网络终端到核心网（信令）、外部数据网络的安全传输提供安全保障。在快速发展的信息时代，5G网络中的密码产品应用逐渐趋于轻量化、芯片化。在诸多电信行业的业务应用中，基于新兴密码技术，5G网络安全将实现从外挂式的安全防护向内生式的嵌入安全跨越，对5G应用场景中的数据和平台访问提供持续的统一认证和精细化的管控。

3 电信运营商的密码应用建议

信息技术发展不断推动密码科技创新，为电信运营商的数字化转型注入了新动力。密码与新技术领域融合更为紧密，云计算技术的快速应用推动了密码算法设计理论进入全同态时代，物联网催生了轻量级、芯片化的密码算法及产品的设计与发展，量子计算使得基于格、基于多变量、基于杂凑函数、基于编码的抗量子密码算法设计不断涌出[10]。

一是发挥央企责任担当，积极开展电信运营商的密码行业应用标准的研究与制定。三大运营商作为国家信息化建设的主力军，兼备数字基因与产业视角，具有独特的能力体系，更要积极制定电信行业的密码应用标准规范，引领密码技术在数字化转型过程中的深度融合，进一步强化核心技术的自主可控。

二是贯彻落实《密码法》要求，组织遴选重要信息系统分阶段开展密评试点工作。密码应用从金融领域拓展到其他重要领域，核心目标是提升基础信息网络、重要信息系统、重要工业控制系统和面向社会服务的政务信息系统这四类重要网络和信息系统的网络空间安全密码保障能力。电信运营商应积极落实相关要求，分阶段开展密评试点工作，确保新建系统实现“三同步一评估”，即同步规划、同步建设、同步运行、定期评估；已建系统，应当定期开展评估。

三是筑牢密码安全防线，全面普及密码基础知识，规范密码应用和管理。密码基础知识缺失已成为开展基础业务工作的“拦路虎”，需加强密码基础知识的宣贯与普及，实现技术与业务的高度融合；要解决人才匮乏导致密码应用不合规、不有效、不正确的技术瓶颈，加强内部培养与外部引进，打造一支属于电信行业多位一体的综合性密码技术人才队伍。■