|
密碼技術是數(shù)字時代的基礎性核心技術之一,是信息安全保護和網(wǎng)絡信任體系建設的基礎,也是保護數(shù)據(jù)安全最經(jīng)濟、最可靠、最有效的手段,在維護國家安全、促進經(jīng)濟社會發(fā)展、保護人民群眾利益等方面發(fā)揮著不可替代的重要作用。 1.國家高度重視商用密碼應用 近年來,我國陸續(xù)出臺《中華人民共和國密碼法》、《商用密碼管理條例(修訂草案征求意見稿)》、《信息安全技術 信息系統(tǒng)密碼應用基本要求》等一系列法律法規(guī)和標準規(guī)范,不斷完善密碼法治體系框架,規(guī)范密碼應用和管理,推進網(wǎng)絡安全和密碼應用工作,促進密碼事業(yè)發(fā)展,保障網(wǎng)絡與信息安全,提升密碼管理科學化、規(guī)范化、法治化水平。 《國家政務信息化項目建設管理辦法》、《政務信息系統(tǒng)密碼應用與安全性評估工作指南》、《政務信息系統(tǒng)基本要求(征求意見稿)》等一系列政務信息系統(tǒng)政策文件,也對商用密碼應用提出了相關要求,特別是《國家政務信息化項目建設管理辦法》第三十條明確要求:“按要求采用密碼技術,并定期開展密碼應用安全性評估,確保政務信息系統(tǒng)運行安全和政務信息資源共享交換的數(shù)據(jù)安全”。 商用密碼應用安全性評估(以下簡稱“密評”)是指在采用商用密碼技術、產(chǎn)品和服務集成建設的網(wǎng)絡和信息系統(tǒng)中,對其密碼應用的合規(guī)性、正確性和有效性進行評估的活動。 按照國家對于商用密碼的管理要求,針對重要領域網(wǎng)絡和信息系統(tǒng)開展密評,是網(wǎng)絡運營者和主管部門的法定責任,是規(guī)范商用密碼應用、發(fā)揮商用密碼作用的必要手段。它可以從根本上改變密碼應用不規(guī)范、不安全的現(xiàn)狀,確保密碼在網(wǎng)絡和信息系統(tǒng)中得到有效應用,切實構建起堅實可靠的網(wǎng)絡安全密碼保障,支撐網(wǎng)絡和數(shù)據(jù)安全發(fā)展、護航數(shù)字經(jīng)濟安全。 2.信息系統(tǒng)密碼應用技術合規(guī)性分析 由于各行業(yè)信息化發(fā)展程度不同,一些重要領域的網(wǎng)絡和信息系統(tǒng)仍存在密碼應用不規(guī)范、不安全的現(xiàn)象,總結下來主要有以下幾方面: (1)用戶、設備身份認證強度較低 用戶進入重要區(qū)域未采用密碼技術或者生物識別技術進行身份鑒別。 應用系統(tǒng)采用低安全的“用戶名+口令”身份鑒別機制。 外部設備連接到內(nèi)部網(wǎng)絡時未進行接入認證。 設備實體進行網(wǎng)絡通信時未進行身份鑒別,或鑒別機制不安全。 (2)重要數(shù)據(jù)、程序安全防護不足 缺少對電子門禁數(shù)據(jù)、視頻監(jiān)控數(shù)據(jù)、通信數(shù)據(jù)、網(wǎng)絡邊界訪問控制信息、系統(tǒng)資源訪問控制信息和重要信息資源安全標記的完整性保護。 以明文形式傳輸和存儲重要用戶信息、重要業(yè)務數(shù)據(jù),未采用密碼技術對這些數(shù)據(jù)進行機密性保護。 未采用密碼技術對重要可執(zhí)行程序進行完整性保護并實現(xiàn)其來源的真實性保護。 采用了密碼技術進行機密性和完整性保護,但是使用的是存在安全問題和安全強度不足的密碼算法(如DES),或者使用存在缺陷或者有安全問題警示的密碼技術(如SSH1.0、SSL2.0、TLS1.0)。 (3)日志記錄保護措施缺失 應用系統(tǒng)的認證登錄日志、配置操作日志等記錄以明文存儲在設備中,未采用密碼技術對日志記錄進行完整性保護,存在日志記錄被非授權篡改的風險。 針對可能涉及法律責任認定的關鍵操作日志,未采用密碼技術對這些行為日志進行不可否認性保護,出現(xiàn)安全事件時無法追蹤溯源。 (4)遠程管理通道不安全 遠程管理應用系統(tǒng)設備時,未采用密碼技術建立安全的信息傳輸通道。 通過不可控網(wǎng)絡環(huán)境進行遠程管理,且鑒別數(shù)據(jù)以明文形式傳輸。 (5)密鑰管理存在安全隱患 密鑰管理對于應用和數(shù)據(jù)安全是至關重要的。在應用系統(tǒng)的密鑰實際管理過程中,存在很多安全隱患: 密鑰生成時采用軟隨機源;隨機數(shù)熵值達不到密碼安全要求; 密鑰分發(fā)時,密碼設備的主密鑰通過在線方式分發(fā),容易造成主密鑰泄露; 密鑰存儲、備份和歸檔時,密鑰以明文形式存儲/備份/歸檔在不可控的環(huán)境中,存在被非授權的訪問、使用、泄露和修改的風險; 密鑰使用和更新時,未建立安全的密鑰使用控制機制和更新機制; 密鑰銷毀和撤銷時,未按照設定的機制進行密鑰銷毀/撤銷等。 3.密評利器—安盟華御密碼服務平臺 安盟信息按照密評要求,對應用系統(tǒng)的密碼應用技術合規(guī)性進行深度分析,打造了安盟華御密碼服務平臺。平臺通過集成各類通過商密檢測的產(chǎn)品和技術,把密碼能力以服務的形式輸出,面向云上各類用戶的不同應用,按需提供身份認證服務、簽名驗簽服務、密碼計算服務、傳輸加密服務和密鑰管理服務等,為用戶和設備的身份鑒別、日志完整性和不可否認性保護、數(shù)據(jù)傳輸機密性和完整性保護、數(shù)據(jù)存儲機密性和完整性保護、密鑰安全管理等提供基礎支撐,幫助用戶快速解決應用系統(tǒng)的密評合規(guī)問題。 安盟華御密碼服務平臺,助力應用系統(tǒng)密評合規(guī) (1)身份認證服務 平臺采用云原生技術架構,支持云上多租戶環(huán)境的基于證書的身份認證,為應用系統(tǒng)提供統(tǒng)一的單點登錄身份認證機制,基于組織機構(GBAC)、基于角色(RBAC)的身份認證策略管理,幫助用戶滿足多場景下的身份鑒別需求,解決用戶身份信息真實性問題。 (2)簽名驗簽服務 平臺可基于簽名驗簽服務器、數(shù)字證書管理系統(tǒng)為用戶提供國密算法的簽名驗簽服務,遵循國家密碼管理局發(fā)布的GM/T 0019規(guī)范,包括簽名驗簽、證書驗證、數(shù)字信封封裝等功能。為各類電子信息數(shù)據(jù)、電子文檔等提供基于數(shù)字證書的數(shù)字簽名服務,并可驗證簽名數(shù)據(jù)的真實性和有效性,滿足用戶在網(wǎng)絡行為中真實性、不可否認性、完整性、機密性需求,以及部分場景下的用戶身份鑒別需求。 (3)密碼計算服務 平臺可為用戶提供適用于各類應用系統(tǒng)的高速的、多任務并行處理的密碼計算服務, 遵循國家密碼管理局發(fā)布的GM/T 0018規(guī)范,提供數(shù)據(jù)加解密功能、文件加解密功能、雜湊運算功能,保證應用系統(tǒng)的重要數(shù)據(jù)和文件在存儲過程中的機密性和完整性。密碼計算服務支持國密SM1、SM2、SM3、SM4算法。 (4)傳輸加密服務 平臺可幫助應用系統(tǒng)在客戶端和服務器之間采用SSL VPN安全網(wǎng)關建立國密算法傳輸加密通道,實現(xiàn)客戶端與服務器之間傳輸數(shù)據(jù)的機密性和完整性保護。同時,傳輸加密服務還可提供授權訪問控制功能,對用戶訪問應用的行為進行管控,防止非授權訪問行為。 (5)密鑰管理服務 平臺可為用戶提供集中統(tǒng)一的密鑰管理服務,幫助用戶輕松創(chuàng)建和管理密鑰,實現(xiàn)對密鑰的全生命周期安全管控。采用通過商用密碼檢測中心認證的硬件密碼設備,按照國家主管部門認可的密鑰生成方法生成高質(zhì)量隨機數(shù)、對稱密鑰和非對稱密鑰,提供密鑰存儲保護機制,保證密鑰生成及存儲的安全合規(guī)性。 4.典型案例—某市政務云密碼應用項目 某市政務云密碼應用項目部署示意圖 某市政務云密碼應用項目,在密碼服務區(qū)部署密碼服務平臺、云服務器密碼機等各類密碼設備,在互聯(lián)網(wǎng)接入?yún)^(qū)部署多臺SSL VPN安全網(wǎng)關,在運維接入?yún)^(qū)部署堡壘機和運維使用的SSL VPN安全網(wǎng)關,在租戶單位終端側和運維側發(fā)放USBKey。密碼服務平臺可集成云服務器密碼機、密鑰管理系統(tǒng)和身份認證系統(tǒng)等設備的能力,通過調(diào)用基礎密碼設備及軟件的功能接口,為部署在業(yè)務應用區(qū)的各租戶單位應用系統(tǒng)提供身份認證服務、簽名驗簽服務、密碼計算服務、傳輸加密服務和密鑰管理服務,實現(xiàn)政務云平臺與各租戶單位之間的業(yè)務傳輸通道保護和運維通道保護,實現(xiàn)各租戶單位用戶登錄系統(tǒng)時的身份認證,和應用系統(tǒng)重要數(shù)據(jù)的存儲機密性和完整性保護。幫助各租戶單位的應用系統(tǒng)通過密評機構開展的商用密碼應用安全性評估測試,滿足國家對于商用密碼應用的合規(guī)要求。 安盟華御密碼服務平臺產(chǎn)品功能圖 5.安盟華御密碼服務平臺,助力云上應用系統(tǒng)密評合規(guī) 安盟信息基于密碼基因打造安全合規(guī)、統(tǒng)一管理、部署靈活、服務彈性可計量的密碼服務平臺,采用多模式資源集成技術,通過整合各種密碼設備和系統(tǒng)、數(shù)據(jù)安全防護產(chǎn)品,打造服務化、場景化,易于行業(yè)快速對接集成的服務能力,對外向應用系統(tǒng)提供各類密碼服務和數(shù)據(jù)安全服務,提高用戶業(yè)務應用系統(tǒng)的安全防護水平,幫助應用系統(tǒng)快速滿足等保和密評要求,推動商用密碼技術在政務云上的應用,助力網(wǎng)絡安全事業(yè)發(fā)展,筑牢數(shù)字安全屏障體系,為數(shù)字經(jīng)濟發(fā)展保駕護航。 |
