|
密碼技術是數字時代的基礎性核心技術之一,是信息安全保護和網絡信任體系建設的基礎,也是保護數據安全最經濟、最可靠、最有效的手段,在維護國家安全、促進經濟社會發展、保護人民群眾利益等方面發揮著不可替代的重要作用。 1.國家高度重視商用密碼應用 近年來,我國陸續出臺《中華人民共和國密碼法》、《商用密碼管理條例(修訂草案征求意見稿)》、《信息安全技術 信息系統密碼應用基本要求》等一系列法律法規和標準規范,不斷完善密碼法治體系框架,規范密碼應用和管理,推進網絡安全和密碼應用工作,促進密碼事業發展,保障網絡與信息安全,提升密碼管理科學化、規范化、法治化水平。 《國家政務信息化項目建設管理辦法》、《政務信息系統密碼應用與安全性評估工作指南》、《政務信息系統基本要求(征求意見稿)》等一系列政務信息系統政策文件,也對商用密碼應用提出了相關要求,特別是《國家政務信息化項目建設管理辦法》第三十條明確要求:“按要求采用密碼技術,并定期開展密碼應用安全性評估,確保政務信息系統運行安全和政務信息資源共享交換的數據安全”。 商用密碼應用安全性評估(以下簡稱“密評”)是指在采用商用密碼技術、產品和服務集成建設的網絡和信息系統中,對其密碼應用的合規性、正確性和有效性進行評估的活動。 按照國家對于商用密碼的管理要求,針對重要領域網絡和信息系統開展密評,是網絡運營者和主管部門的法定責任,是規范商用密碼應用、發揮商用密碼作用的必要手段。它可以從根本上改變密碼應用不規范、不安全的現狀,確保密碼在網絡和信息系統中得到有效應用,切實構建起堅實可靠的網絡安全密碼保障,支撐網絡和數據安全發展、護航數字經濟安全。 2.信息系統密碼應用技術合規性分析 由于各行業信息化發展程度不同,一些重要領域的網絡和信息系統仍存在密碼應用不規范、不安全的現象,總結下來主要有以下幾方面: (1)用戶、設備身份認證強度較低 用戶進入重要區域未采用密碼技術或者生物識別技術進行身份鑒別。 應用系統采用低安全的“用戶名+口令”身份鑒別機制。 外部設備連接到內部網絡時未進行接入認證。 設備實體進行網絡通信時未進行身份鑒別,或鑒別機制不安全。 (2)重要數據、程序安全防護不足 缺少對電子門禁數據、視頻監控數據、通信數據、網絡邊界訪問控制信息、系統資源訪問控制信息和重要信息資源安全標記的完整性保護。 以明文形式傳輸和存儲重要用戶信息、重要業務數據,未采用密碼技術對這些數據進行機密性保護。 未采用密碼技術對重要可執行程序進行完整性保護并實現其來源的真實性保護。 采用了密碼技術進行機密性和完整性保護,但是使用的是存在安全問題和安全強度不足的密碼算法(如DES),或者使用存在缺陷或者有安全問題警示的密碼技術(如SSH1.0、SSL2.0、TLS1.0)。 (3)日志記錄保護措施缺失 應用系統的認證登錄日志、配置操作日志等記錄以明文存儲在設備中,未采用密碼技術對日志記錄進行完整性保護,存在日志記錄被非授權篡改的風險。 針對可能涉及法律責任認定的關鍵操作日志,未采用密碼技術對這些行為日志進行不可否認性保護,出現安全事件時無法追蹤溯源。 (4)遠程管理通道不安全 遠程管理應用系統設備時,未采用密碼技術建立安全的信息傳輸通道。 通過不可控網絡環境進行遠程管理,且鑒別數據以明文形式傳輸。 (5)密鑰管理存在安全隱患 密鑰管理對于應用和數據安全是至關重要的。在應用系統的密鑰實際管理過程中,存在很多安全隱患: 密鑰生成時采用軟隨機源;隨機數熵值達不到密碼安全要求; 密鑰分發時,密碼設備的主密鑰通過在線方式分發,容易造成主密鑰泄露; 密鑰存儲、備份和歸檔時,密鑰以明文形式存儲/備份/歸檔在不可控的環境中,存在被非授權的訪問、使用、泄露和修改的風險; 密鑰使用和更新時,未建立安全的密鑰使用控制機制和更新機制; 密鑰銷毀和撤銷時,未按照設定的機制進行密鑰銷毀/撤銷等。 3.密評利器—安盟華御密碼服務平臺 安盟信息按照密評要求,對應用系統的密碼應用技術合規性進行深度分析,打造了安盟華御密碼服務平臺。平臺通過集成各類通過商密檢測的產品和技術,把密碼能力以服務的形式輸出,面向云上各類用戶的不同應用,按需提供身份認證服務、簽名驗簽服務、密碼計算服務、傳輸加密服務和密鑰管理服務等,為用戶和設備的身份鑒別、日志完整性和不可否認性保護、數據傳輸機密性和完整性保護、數據存儲機密性和完整性保護、密鑰安全管理等提供基礎支撐,幫助用戶快速解決應用系統的密評合規問題。 安盟華御密碼服務平臺,助力應用系統密評合規 (1)身份認證服務 平臺采用云原生技術架構,支持云上多租戶環境的基于證書的身份認證,為應用系統提供統一的單點登錄身份認證機制,基于組織機構(GBAC)、基于角色(RBAC)的身份認證策略管理,幫助用戶滿足多場景下的身份鑒別需求,解決用戶身份信息真實性問題。 (2)簽名驗簽服務 平臺可基于簽名驗簽服務器、數字證書管理系統為用戶提供國密算法的簽名驗簽服務,遵循國家密碼管理局發布的GM/T 0019規范,包括簽名驗簽、證書驗證、數字信封封裝等功能。為各類電子信息數據、電子文檔等提供基于數字證書的數字簽名服務,并可驗證簽名數據的真實性和有效性,滿足用戶在網絡行為中真實性、不可否認性、完整性、機密性需求,以及部分場景下的用戶身份鑒別需求。 (3)密碼計算服務 平臺可為用戶提供適用于各類應用系統的高速的、多任務并行處理的密碼計算服務, 遵循國家密碼管理局發布的GM/T 0018規范,提供數據加解密功能、文件加解密功能、雜湊運算功能,保證應用系統的重要數據和文件在存儲過程中的機密性和完整性。密碼計算服務支持國密SM1、SM2、SM3、SM4算法。 (4)傳輸加密服務 平臺可幫助應用系統在客戶端和服務器之間采用SSL VPN安全網關建立國密算法傳輸加密通道,實現客戶端與服務器之間傳輸數據的機密性和完整性保護。同時,傳輸加密服務還可提供授權訪問控制功能,對用戶訪問應用的行為進行管控,防止非授權訪問行為。 (5)密鑰管理服務 平臺可為用戶提供集中統一的密鑰管理服務,幫助用戶輕松創建和管理密鑰,實現對密鑰的全生命周期安全管控。采用通過商用密碼檢測中心認證的硬件密碼設備,按照國家主管部門認可的密鑰生成方法生成高質量隨機數、對稱密鑰和非對稱密鑰,提供密鑰存儲保護機制,保證密鑰生成及存儲的安全合規性。 4.典型案例—某市政務云密碼應用項目 某市政務云密碼應用項目部署示意圖 某市政務云密碼應用項目,在密碼服務區部署密碼服務平臺、云服務器密碼機等各類密碼設備,在互聯網接入區部署多臺SSL VPN安全網關,在運維接入區部署堡壘機和運維使用的SSL VPN安全網關,在租戶單位終端側和運維側發放USBKey。密碼服務平臺可集成云服務器密碼機、密鑰管理系統和身份認證系統等設備的能力,通過調用基礎密碼設備及軟件的功能接口,為部署在業務應用區的各租戶單位應用系統提供身份認證服務、簽名驗簽服務、密碼計算服務、傳輸加密服務和密鑰管理服務,實現政務云平臺與各租戶單位之間的業務傳輸通道保護和運維通道保護,實現各租戶單位用戶登錄系統時的身份認證,和應用系統重要數據的存儲機密性和完整性保護。幫助各租戶單位的應用系統通過密評機構開展的商用密碼應用安全性評估測試,滿足國家對于商用密碼應用的合規要求。 安盟華御密碼服務平臺產品功能圖 5.安盟華御密碼服務平臺,助力云上應用系統密評合規 安盟信息基于密碼基因打造安全合規、統一管理、部署靈活、服務彈性可計量的密碼服務平臺,采用多模式資源集成技術,通過整合各種密碼設備和系統、數據安全防護產品,打造服務化、場景化,易于行業快速對接集成的服務能力,對外向應用系統提供各類密碼服務和數據安全服務,提高用戶業務應用系統的安全防護水平,幫助應用系統快速滿足等保和密評要求,推動商用密碼技術在政務云上的應用,助力網絡安全事業發展,筑牢數字安全屏障體系,為數字經濟發展保駕護航。 |
